implementing-deception-based-detection-with-canarytoken

通过识别可执行文件中的唯一字节模式、字符串和行为指标，开发精准的 YARA 恶意软件检测规则，同时将误报率降至最低。

通过利用 CDN 缓存层与源服务器之间的路径规范化差异，执行 Web 缓存欺骗攻击，从而缓存并获取敏感的已认证内容。

使用隐写分析（Steganalysis）工具检测和提取嵌入在图像、音频及其他媒体文件中的隐藏数据，揭露隐蔽通信渠道。

检测横向移动（Lateral Movement）技术，包括哈希传递（Pass-the-Hash）、PsExec、WMI 执行、 RDP 转移和基于 SMB 的传播，使用 SIEM 关联 Windows 事件日志、网络流数据和终端遥测， 映射到 MITRE ATT&CK 横向移动战术（TA0008）技术。

通过计算 DNS 查询名称的香农熵（Shannon Entropy）、分析查询长度分布、检测 TXT 记录载荷以及 识别高子域名基数，检测 DNS 隧道（DNS Tunneling）攻击。使用 scapy 进行数据包捕获分析， 结合统计方法区分合法 DNS 流量和隐蔽信道。适用于数据泄露猎威场景。

部署欺骗技术（Deception Technology），包括蜜罐（Honeypot）、诱饵令牌（Honeytoken）和诱饵系统（Decoy System）， 用于检测已绕过外围防御的攻击者，提供极低误报率的高置信度告警。适用于 SOC 团队需要提前预警横向移动（Lateral Movement）、 凭据滥用（Credential Abuse）或内部侦察（Internal Reconnaissance）的场景，通过在网络中部署逼真陷阱实现检测。

通过分析命名空间配置、特权容器检查、危险能力分配和宿主机路径挂载，使用 kubernetes Python 客户端检测容器逃逸尝试。识别通过 cgroup 滥用的 CVE-2022-0492 类型逃逸。 适用于审计容器安全态势或调查逃逸尝试。

检测和响应中间人（AiTM）钓鱼攻击，这类攻击使用 EvilProxy、Evilginx 和 Tycoon 2FA 等反向代理工具包绕过 MFA 并窃取会话令牌。

使用 HashiCorp Boundary 实现具备动态凭据代理、会话录制和 Vault 集成的身份感知零信任基础设施访问管理。

使用身份感知代理（IAP，Identity-Aware Proxy）、上下文感知访问策略、设备信任验证和 Access Context Manager，部署 Google BeyondCorp Enterprise 零信任访问控制，对 GCP 资源和内部应用强制执行基于身份和安全态势的访问。

通过配置身份感知代理、微分段、基于条件访问策略的持续验证，以及在 AWS、Azure 和 GCP 环境中以 BeyondCorp 风格的架构替代传统 VPN 访问，在云环境中实施零信任网络访问（ZTNA）。

使用 Zscaler 实施零信任网络访问（Zero Trust Network Access，ZTNA），通过 Zscaler Private Access（ZPA）配置应用分段、访问策略和连接器，替代传统 VPN 架构