当我们听说 *** 安全事件时，大部分情况下攻击者已经控制了局面——也许他们已经入侵了一家公司并泄露了数据，或者放入了勒索软件或其他类型的恶意软件。相比之下，我们通常不会听说有组织成功击退了攻击者。

在信息安全领域，人们进行长期的努力和投入以期改变当前的局势，试图将一场 *** 对抗的主动权重新交到防御者手中。这就引出了一个问题：防守者可以多大程度上的完全引导一一甚至控制攻击者的行动?

要回答这个问题，首先必须了解攻击者是如何接近目标的。

MITRE ATT&CK框架是一种基于理解攻击战术和攻击手段的 *** 。它的矩阵提供了一种 *** 来确定一个特定的攻击可能采取的步骤以及它通常可能导致的结果。

勒索软件这样的攻击正变得越来越有针对性和可操作性。攻击者对索取少量赎金不感兴趣，他们更想知道你更好的东西在哪里。他们会通过 *** 隐秘而缓慢的探查，他们会建立几个跳板，反复来回，在获得更多的信息的同时迷惑对手，只有当做好了充分的准备才会进行正式攻击。

在这样的背景下，欺骗技术已经变成了一种有效的对抗手段。

在MITRE ATT&CK框架中，攻击者启动和升级攻击需要12个步骤，而一套完整的全结构欺骗可以最多破坏其中11个。

因为欺骗技术有很多种类型，我们有必要为它做一个定义。

安全研究人员在80年代首次引入蜜罐，作为一种了解是谁从 *** 外部攻击组织的有效手段，但欺骗技术不仅仅是一个花哨的蜜罐。

• 商业欺骗技术已经走了很长一段路，它包括各种类型的诱饵、陷阱和标记。企业可能会在真实文件中放置一些欺骗文件，比如金丝雀文件。这些假文件就像煤矿里的金丝雀一样，为地下瓦斯的积累程度提供了一个早期预警系统。同样，攻击者与金丝雀文件的交互也可以为公司提供足够的警告，来提醒及时检查未经授权的数据访问。

• 另一种形式的欺骗发生在 *** 的外围。这样的欺骗可以在攻击者试图获取证书时，推进攻击以暴露他们的存在。它们还可以将攻击者的痕迹记录传送回中央服务器，中央服务器从而发出警报提出预警。

• 第三种类型的欺骗发生在 *** 内部，目的是检测绕过其他安全控制的攻击。这种形式的欺骗通常使用诱饵来吸引侦察和横向移动中的攻击者。

• 第四种类型的欺骗针对特定应用程序的风险，如Active Directory。这种 *** 包括采用未经授权的Active Directory查询并将其误导到一个欺骗环境中。虽然这类攻击有点超出了传统上被归类为欺骗的范围，但它仍然是关于诱导攻击者行为，因此我们将它归类于第四类欺骗类型。

欺骗技术可以解决安全领域中的多个问题。全结构欺骗平台允许组织充分利用攻击者，收集情报然后获取信息，并在后台自动化、响应事件。

欺骗技术为各类机构提供了对攻击者的控制机会，可以很大程度上操纵他们的行动。

与80年代的蜜罐相比，当代欺骗平台可以实现不间断的管理和操作。蜜罐需要程序员在遭遇攻击后重新配置和重建它们，确保攻击者不能使用它们作为跳板。蜜罐也需要定时更新换代，保持它们对攻击者的吸引力。

而在最新的平台上，机器学习可以对环境进行分析，从而减少部署的困难，并使诱饵更加真实。这种能力大大降低了安全团队部署和维护的需求。同时，高度的真实性使诱饵更加可信，可以充分融入周边环境，成为一个让攻击者深信不疑的目标。

动态部署诱饵能响应未监视子网上的攻击者活动，使每个端点充当诱饵，将攻击者重定向到欺骗环境。这也是影响攻击者活动的一项特征。

欺骗技术现在可以应用于本地和基于云的环境。欺骗技术的架构经过改进，可适应不同的攻击。这一发展也使它真正的做到了——能够让防御者指导和控制攻击者的行动。