创宇蜜罐-威胁诱捕与入侵监测系统

创宇蜜罐提供客户端与子域名两种路径诱骗的方法，分别应用于内外网不同场景。

内网场景

在内网场景中，蜜罐的入口散布的越多，捕获到攻击者的概率也会更高。通过在隔离网段旁路部署客户端，利用IP覆盖将大量空闲IP分配给蜜罐服务（可以覆盖 C段、B 段，甚至 A 段），结合产品提供的中继链路模式实现跨网段部署，这些 IP 地址最终都会被重定向至蜜罐环境，成为蜜罐的入口。此时内网中若存在被入侵并中毒的设备，在试图横向攻击时，蜜罐捕获到攻击的几率便会大大提高，从而快速在众多资产中定位隐藏的被感染设备。

外网场景

在外网场景中，可以配置解析蜜罐系统智能推荐的具有高诱捕性的子域名，并结合部署Web类高仿真蜜罐（如：企业官网、OA系统、电商网站、论坛等）。在没有官方入口的情况下，真实访客通常不会进入诱捕子域名，而试图从旁站突破的攻击者，则更可能在扫描探测时进入诱捕子域名，从而被蜜罐捕获。

威胁记录监测

安全运维人员在收到告警消息后，可以登入创宇蜜罐管理系统，查看此次威胁事件的详情。创宇蜜罐尽可能丰富地收集威胁事件日志，用户可下载威胁事件的详细日志数据包用于分析。对于高交互型蜜罐，比如当攻击者以 SSH 方式登入蜜罐后，创宇蜜罐将全程记录此次会话，用户也可以回放本次攻击，以视频形式观看此次攻击会话的全过程。同时蜜罐还会监听并获知攻击者可能在蜜罐中上传的文件，并且为这些遗留文件在页面上提供下载分析途径，使蜜罐系统成为大规模采集恶意样本的途径之一。