信息安全发展到了今天繁荣的程度,传统的安全检测方案仍然是以检测静态特征码的被动防御技术为主,大多数网络安全人员更多考虑和关注的是来自网络外部的攻击,而忽视了内网安全建设的问题。实际上,随着具有充分攻击目的性和准备性的新型APT攻击方式出现,攻击者可以利用网络钓鱼或者水坑攻击等社会工程学的手段获得内网个人用户登陆凭证,再进一步部署攻击链,进行横向渗透,从而获取更有价值的内部敏感信息。因此,单纯地部署对外防御或者对内防御的安全检测方案都难以做到安全资源覆盖整个网络。本文通过阅读大量文献,总结主流欺骗防御技术,研究不同蜜罐技术的基本原理,对比国外开源蜜罐项目的优点与不足,设计并实现了同时具备外网威胁感知能力和内网攻击检测能力的多蜜罐分布式欺骗防御系统。本文的具体工作及创新内容如下:1.设计并实现了基于流量转发技术能够轻量级灵活部署的蜜网探针,解决了开源蜜罐系统检测覆盖范围窄,部署维护成本高的问题。系统无需在各个网段部署真实的蜜罐服务,蜜网探针能够实现与部署了真实蜜罐服务相同的欺骗效果,有效提升了欺骗防御系统的检测覆盖范围。2.设计并实现了多种不同交互类型的新型蜜罐,解决了开源蜜罐组合形成的欺骗环境指纹信息明显,易被攻击者识别的问题,并根据不同区域的攻击特征与安全系数,提出了更具针对性的欺骗环境部署方案。(1)针对外网扫描特征明显及安全性较低的DMZ区域,设计并实现了由Cowrie蜜罐、Wordpress钓鱼蜜罐、Shadow蜜罐和Mysql_fake蜜罐构成的面向外网攻击的欺骗环境构建机制,能够有效检测并记录外网的扫描与攻击行为,并通过Kibana实时感知外网威胁。(2)针对攻击者高度隐藏且攻击特征明显的内网区域,设计并实现了基于Docker容器技术构建、包含多种已知漏洞的高交互蜜罐环境,由WebLogic蜜罐、ThinkPHP蜜罐、Redis蜜罐等构成,同时结合面包屑文件、数据库蜜饵等伪装诱骗技术,有效检测隐藏于内网中的攻击行为,实时触发蜜网管理系统告警。3.设计并实现了基于Sysdig Falco的系统行为捕获机制,能够实现Docker高交互蜜罐的容器系统命令审计及文件变更的审计,与基于Packetbeat的流量监测共同构成了更加完善的威胁数据捕获体系。