从防御视角看攻击：在Windows上搭建HFish蜜罐监控内网威胁实战

蜜罐技术作为主动防御的重要手段，正在被越来越多的企业纳入安全体系。不同于被动防御设备，蜜罐通过模拟真实服务吸引攻击者，不仅能提前发现威胁，还能收集攻击手法和工具信息。本文将从一个安全运维人员的实战视角，分享如何在Windows环境中部署HFish蜜罐，并真正发挥其在内网威胁监控中的价值。

1. 部署前的关键规划

部署蜜罐不是简单的安装软件，而是需要综合考虑网络拓扑、业务环境和安全策略的系统工程。一个规划不当的蜜罐可能无法捕获有效攻击，甚至可能成为攻击者利用的跳板。

1.1 网络位置选择策略

蜜罐的网络位置直接影响其监控效果。在内网环境中，以下几个位置值得考虑：

• 核心业务区相邻网段：攻击者在横向移动时往往会优先扫描这些区域
• DMZ区域：可感知来自外网的扫描和攻击尝试
• 开发测试环境：这些区域通常安全控制较弱，是攻击者喜欢的目标
• 分支机构连接点：监控来自其他办公区域的异常流量

提示：避免将蜜罐部署在与真实业务服务器同一网段，这可能导致正常业务流量误触蜜罐告警。

1.2 端口与服务规划

HFish支持模拟多种服务，但并非开启越多越好。合理的服务规划应考虑：

建议初期选择3-5个高频攻击目标端口，后期根据实际告警情况调整。

2. 隐蔽性与持久化配置

蜜罐的价值在于不被识别为蜜罐。在Windows环境下，需要通过系统配置增强HFish的隐蔽性。

2.1 Windows防火墙精细控制

通过防火墙规则可以控制蜜罐的可访问范围，同时隐藏其真实性质：

# 允许特定IP段访问蜜罐端口 New-NetFirewallRule -DisplayName "HFish_SMB" -Direction Inbound -LocalPort 445 -Protocol TCP -Action Allow -RemoteAddress 192.168.1.0/24 # 屏蔽来自安全设备的探测 New-NetFirewallRule -DisplayName "Block_Security_Scanners" -Direction Inbound -RemoteAddress 10.0.0.100,10.0.0.101 -Action Block

2.2 服务化与自启动

将HFish注册为系统服务可确保持久化运行：

# 使用nssm创建服务 nssm install HFish "C:\hfish\hfish.exe" nssm set HFish AppDirectory "C:\hfish" nssm set HFish AppStdout "C:\hfish\log.txt" nssm start HFish

同时建议修改以下系统配置：

• 禁用不必要的系统日志记录
• 设置合理的资源占用限制
• 定期自动清理日志文件

3. 实时告警与响应机制

蜜罐的真正价值在于及时告警。HFish支持多种告警方式，关键在于如何配置才能既不错过重要事件，又不被海量告警淹没。

3.1 邮件告警优化配置

在config.ini中配置SMTP时，建议：

[mail] enable = true server = smtp.office365.com:587 user = alert@yourdomain.com pass = yourpassword tls = true receivers = soc@yourdomain.com,sec_team@yourdomain.com

为提高告警质量，应设置合理的触发条件：

• 同一IP在5分钟内尝试超过3种不同服务
• 来自境外IP的敏感端口访问
• 检测到已知恶意工具特征

3.2 钉钉/企业微信集成实战

对于需要移动端告警的场景，建议使用Webhook方式：

# 示例：钉钉机器人Python告警脚本 import requests import json def send_dingtalk_alert(ip, service, timestamp): webhook = "https://oapi.dingtalk.com/robot/send?access_token=your_token" headers = {'Content-Type': 'application/json'} data = { "msgtype": "markdown", "markdown": { "title": "蜜罐告警", "text": f"### 蜜罐攻击告警\n\n**时间**: {timestamp}\n\n**攻击IP**: {ip}\n\n**目标服务**: {service}" } } requests.post(webhook, headers=headers, data=json.dumps(data))

4. 从告警到行动的实战案例

蜜罐告警的价值在于后续分析和响应。以下是几个真实场景的处置经验。

4.1 内网扫描行为分析

某次HFish捕获到来自192.168.5.23的扫描行为，日志显示：

2023-11-02 14:22:01 | 192.168.5.23 | SMB | 尝试使用 Administrator/Password123 登录 2023-11-02 14:22:05 | 192.168.5.23 | RDP | 尝试多种常见用户名组合 2023-168.5.23 | MySQL | 尝试root空密码登录

分析步骤：

1. 查询该IP资产归属，发现是一台打印机
2. 现场检查发现打印机被接入了调试用的树莓派
3. 进一步调查发现该树莓派被植入了扫描脚本
4. 溯源发现是某供应商维护人员违规操作

4.2 勒索软件早期预警

HFish的SMB服务捕获到以下行为：

1. 大量文件枚举请求
2. 尝试使用永恒之蓝漏洞
3. 尝试创建异常后缀名文件

处置过程：

• 立即隔离源IP
• 检查同网段真实服务器
• 发现3台未打补丁的服务器
• 阻断攻击链，避免大规模感染

5. 高级运营技巧

要让蜜罐持续产生价值，需要定期维护和优化配置。

5.1 日志分析与威胁情报生产

HFish日志可以导入SIEM系统进行关联分析。关键字段包括：

• src_ip: 攻击源IP，可用于信誉评估
• service: 受攻击服务类型，反映攻击者兴趣点
• timestamp: 攻击时间，分析攻击模式
• payload: 攻击载荷，提取IOC指标

5.2 蜜罐维护日历

建议建立定期维护计划：

在实际运营中，我们发现配置过于复杂的蜜罐反而容易暴露。保持适度仿真，定期轮换服务类型，才能获得最佳效果。