CISA 网络诱饵部署指南：蜜罐、蜜标与欺骗防御落地

资讯专家

2026年9月17日，美国网络安全和基础设施安全局（CISA）发布网络诱饵部署指南，面向关键基础设施组织，目标是用诱饵系统增强检测与响应能力。指南称，网络诱饵可与零信任模型互补：零信任持续验证所有访问，而诱饵假设攻击者已获得一定程度的企业环境访问权限。

CISA 将网络诱饵定义为看似合法的系统、账户或数据，但实际用于分散攻击者、检测其存在，或促进网络威胁情报（CTI）收集。组织可通过诱饵更早识别、观察和阻断恶意活动，收集与分析 CTI，并更有效地分配资源。

指南指出，诱饵技术具有增量、成本效益和可扩展特点，无需重大架构变更即可引入。部署时应将诱饵放在用户很少或从不交互的位置，并配置为产生高保真告警。诱饵的设计目标包括：将攻击者引向诱饵数据；在对手侦察阶段制造对环境的误导性理解；诱使威胁行为者下载大量非敏感或无意义数据；将对手引导到受控环境，以便观察其贴近真实的操作并更高效地收集 CTI。

有效部署的诱饵类型包括 lures（诱饵）、tripwires（绊线）、decoy artifacts（诱饵制品）、honeytokens（蜜标）和 honeypots（蜜罐）。CISA 将部署过程视为三阶段运营流程：准备、执行、理解。准备阶段需评估威胁态势，设定明确运营目标，规划期望的对手感知与反应，建立部署渠道，并定义成功指标。执行后，组织需将数据转化为可操作情报和反馈情报，并分析成功与失败以持续改进。

指南还详细说明各类诱饵系统的收益、部署方式，并提供示例场景。CISA 表示，该指南用于帮助不同网络安全成熟度的防御团队规划与实施网络诱饵策略，增强检测和响应能力。许多组织难以发现使用合法凭据、原生工具和 LOTL 技术进行发现、横向移动和访问数据的对手，诱饵可作为补充检测手段。