回想起當許多與會者聽到“欺騙”一詞時，蜜罐仍然是我想到的第一件事。的確，當欺騙技術在多年前首次出現時，蜜罐是描述欺騙工作方式的最類似技術，因爲蜜罐試圖欺騙***者與其進行交互。但是，自20世紀90年代蜜罐問世並於21世紀首次商業化以來，欺騙已走了很長一段路。把新一代的欺騙技術叫做什麼，只是不要叫它蜜罐。
定義下一代欺騙技術首先要說明它不是什麼：一種愚蠢的，易於指紋識別的，旨在引誘不幸的，毫無戒心的***們註定要滅亡。
下一代欺騙技術下一代欺騙技術
下一代欺騙技術——早期威脅檢測
當今的欺騙技術提供了最早和最有效的檢測周邊威脅的手段，使用了從端點數據到誘餌的一系列欺騙手段。根據Gartner的定義，欺騙平臺包括用於實施，管理和監視誘餌的系統，用於創建和分發誘餌的工具，以及隨後刷新或刪除這些欺騙的方法。爲了有效地進行檢測，欺騙必須是不可檢測的並且是不可避免的。
隨着市場的發展，出現了三種常見的欺騙類型。完全交互誘餌(蜜罐)，部分或低交互仿真誘餌以及端點數據欺騙。讓我們花一點時間將這些欺騙類別進一步細分。
完全交互誘餌(néeHoneypots)
完全交互式誘餌(FID)並不意味着早期檢測到威脅，而且它們並沒有——至少不是很好，而且根本無法始終如一。完全交互誘餌以主機的形式(物理的或虛擬的)存在於網絡上，其目的是要被犯罪分子***和破壞。由於完全交互誘餌是在網絡上部署的完全功能性的系統，因此完全交互誘餌很難廣泛分佈，並且維護和實施的資源非常繁瑣，因此通常只部署有限的完全交互誘餌，這意味着不適用於檢測用例。***者必須將其絆倒或引誘到完全交互誘餌中，以使它們不會上升到檢測所需的“不可避免”或“無法避免”的水平。完全交互誘餌最初旨在讓防禦者觀察正在進行的***，但仍可以在威脅研究中發揮作用。然而，越來越複雜的現成的工具，如蜜罐破壞者意味着今天的***者不太可能被一個完全交互的誘餌長期愚弄。
部分或低交互仿真誘餌
部分交互或低交互誘餌使用仿真來欺騙***者試圖與設備進行交互。從概念上講，這些欺騙就像舞臺佈景。***者在企圖闖入時被“抓住”，但門的另一側沒有東西。這種誘餌的示例是設備或應用程序，它非常詳細地模擬大型機管理員控制檯的登錄屏幕。當***者嘗試使用被盜的憑據登錄時，***者會收到一條錯誤消息，並且系統會觸發警報。經常部署仿真來保護諸如醫療和物聯網設備之類的“不可觸摸”的系統，並且隨着物聯網技術的廣泛普及，仿真在欺騙中扮演着更具戰略性的角色。仿真誘餌通常更易於部署和支持， 因此更容易避免。
但是請注意，試圖通過他們在任何一天所支持的仿真數來判斷欺騙商販是一個愚蠢的差事。任何單一供應商都不太可能提供所設想的數百萬個IoT設備所需的所有仿真，因此在這裏，API以及合作伙伴和客戶進行仿真的能力可能會迅速發展。
端點數據欺騙
端點數據欺騙僅包含靜態數據組成。***者首次進入網絡時，他們會落在端點上。從那裏開始，他們在成爲“離開陸地”的過程中，部署了***工具來調查環境並搜索合法的憑據，以提升其特權以及與其他端點和服務器的連接。一旦發現，該數據將用於惡意遍歷網絡。
作爲阻止***者的第一步，必須從網絡中刪除這些有效的憑據和連接。僅此一項“清理”操作就會減慢或阻止***者“在陸地上生存”的能力，從而以一種通常不在補丁程序側重的漏洞管理解決方案所無法涵蓋的方式來減少潛在的***面。欺騙供應商對這一重要過程的處理方法各不相同，因此不要被營銷炒作所愚弄。在您自己的環境中執行測試。***風險評估，它提供有關“憑據和連接”環境當前狀態的令人驚訝的數據。
***檢測過程的下一步是在***者一定會遇到的地方放置虛假信息;例如，將僞造的憑據和連接數據放在只有***者才能找到的端點的緩存中。領先的供應商提供了許多不同的端點欺騙系列，包括文件，文件系統，電子郵件，RDP連接等等。一旦***者與任何這些虛假數據進行交互，就會觸發高保真警報，準確顯示嘗試了什麼以及在何處進行了***。供應商在收集和分發此憑證信息的方法上有所不同。
是什麼使當今的欺騙技術成爲下一代?
如今，機器智能和自動化技術使欺騙平臺能夠發現網絡系統，並知道***者與它們之間的關係。智能欺騙系統可以推薦並製作針對每個系統定製的真實網絡，系統，應用程序，服務器和數據欺騙，並表現爲環境的本機。人工智能驅動的自動化還可以使複雜的網絡欺騙網絡不斷髮展並與時俱進，即使威脅和業務發生變化，即使在最大的網絡上也是如此。
最後，下一代欺騙技術還可以與其他安全解決方案輕鬆集成，從而使其威脅檢測功能可以增強其他技術的解決能力。例如，端點檢測和響應(EDR)以及安全信息和事件管理(SIEM)系統可以在***生命週期的更早點從下一代欺騙工具接收高保真警報。這樣，與下一代欺騙手段一道部署此類解決方案的組織可以在***者能夠接近任何地方之前加快調查和緩解風險。
更多linux諮詢請查看www.linuxprobe.com