扫描器每天在你的服务器门口敲门几百次，绝大多数管理员选择装看不见。这一期换个思路：与其被动挨扫，不如请君入瓮。本期专挖「欺骗防御」方向的开源蜜罐——从让扫描器永远卡在握手阶段的 SSH 狡猡，到能伪造整个工控电厂的仿真陷阱，再到一枚假 AWS 密钥就能揪出内鬼的密探令牌。这个方向冷门、深度足，而且国外已有靠它做成年收数百万美元生意（Thinkst）的成功先例，非常适合安全服务商二开变现。文中 Star 数均为约数，以仓库实时数据为准。
一句话定位：中交互 SSH/Telnet 蜜罐的行业标准——黑客以为自己攻进来了，其实从头到尾都在你的剧本里。
解决什么痛点：公网服务器的 22 端口每天被爆破上千次，防火墙只能挡，学不到东西。Cowrie 直接把假 shell 递给攻击者：它能模拟一个真实的 Linux 文件系统，让攻击者 ls、cat、甚至「下载」并「运行」挖矿脚本——每一步都被完整录制成 TTY 录像存进数据库。
核心功能拆解：用 Python 写成，基于 Twisted 异步框架；文件系统是一份可编辑的 JSON 仿真树，你想让假目录多像生产环境就多像；攻击者上传的恶意样本会被自动扣留存储，直接喂给威胁分析。部署一条 pip install cowrie 加配置即可，接在真实 SSH 前面做代理模式也支持。据其官方文档，它是全球学术论文和威胁情报报告里被引用最多的蜜罐之一。
上手难度：⭐⭐⭐ 适用人群：安全运维、想搞清楚「到底谁在扫我」的运维团队。变现思路：帮中小企业批量部署并输出「攻击面月报」，是一份几乎零边际成本的安服产品。
一句话定位：一句命令在内网撒一把「假服务」，谁碰谁报警——防内渗透的不是墙，是警报器。
解决什么痛点：防火墙防外不防内。攻击者进了内网后会扫描横向移动，而 OpenCanary 的思路是在内网各处放上逼真的诱饵：假 SMB 共享、假 FTP、假 SQL Admin、假路由器管理页——真实员工永远不会去碰它们，任何一个连接都意味着有猫腻，立刻发邮件/Slack 告警。
核心功能拆解：Python 守护进程，一个节点可同时跑十几种协议蜜罐；亮点是告警质量极高——因为是诱饵，误报率天然趋近于零，据其官方文档这正是它与传统 IDS 的核心区别。配置就是改一个 JSON 文件，树莓派都能跑。它背后是商业公司 Thinkst，开源版功能完整，付费版 Canary 多了硬件诱饵设备和管理台——「开源核心+商业硬件」的打法非常值得研究。
上手难度：⭐⭐ 适用人群：没有专职安全团队的中型企业、想给客户加「内网雷达」的 MSP 服务商。变现思路：按节点数收月费的「内网入侵预警」托管服务。
一句话定位：免费的高精密度绊线——一枚假 AWS 密钥、一份假 Word 文档，谁偷谁现身。
解决什么痛点：日志告诉你「可能有事」，Canarytoken 告诉你「确切发生了什么」。它把告警埋进各种日常物件里：一张网页、一个 DNS 域名、一份嵌了追踪像素的 PDF、一张假的 AWS API 密钥、一个假 MySQL 转储文件。密钥被人拿去用、文档被人在断外网的机器上打开，你都会收到带时间地点的告警。
核心功能拆解：这是个 Django 项目，官方在 canarytokens.org 免费托管，你也可以完全自托管。最有意思的是「Web 图片令牌」和「Cloned Website 令牌」：前者钓鱼取证一绝，后者专抓抄袭你官网的竞品——安全圈之外也很好用。据其官方仓库，整套系统无任何外部依赖数据库，部署门槛低。
上手难度：⭐⭐ 适用人群：红队、想验证「我的密钥有没有泄露」的每个开发者。变现思路：几乎没人把它用到业务侧——给律所/设计公司做「文件泄露追踪」部署，是 Blue Ocean。
一句话定位：德国电信开源的「蜜罐全家桶」——一个 ISO 镜像把二十多个蜜罐和可视化仪表盘全部打包。
解决什么痛点：单个蜜罐只看一个端口，想组一套完整的全网诱捕体系要自己拼十几个开源项目、调依赖、对日志格式，劝退。T-Pot 由德国电信的安全团队（Deutsche Telekom Security）多年维护，用 Docker 把 Cowrie、Conpot、heralding 等主流蜜罐编排在一起，共享一个 Elasticsearch 存储，开箱自带 Kibana 攻击可视化大屏和 ATTACK 安全框架映射。
核心功能拆解：提供标准版、企业版等多种安装镜像；每个蜜罐跑在独立容器里，互不污染；内置的攻击地图和统计面板拿去做 SOC 汇报极其唬人。代价是资源占用不低——官方建议至少 8GB 内存的虚拟机。据其官方文档，它定位就是「传感器+研究」双用途。
上手难度：⭐⭐⭐（部署简单，玩透面板需要时间） 适用人群：高校安全实验室、想攒威胁情报数据的团队。变现思路：把多台 T-Pot 组成传感网络，聚合脱敏后的攻击情报卖给同行。
一句话定位：一千行 C 写成的 SSH 「贪吃蛇陷阱」——不蜜罐、不欺骗，纯粹让扫描器永远握不完手。
解决什么痛点：面对海量 SSH 爆破，fail2ban 是封一个来一个，治标。Endlessh 的思路更狠：它监听 22 端口，对每个连进来的扫描器发送一条无限长的、故意拖慢的 SSH 协议头，遵守协议的客户端只能干等着——一个 Endlessh 实例可以同时把几千个扫描器拖在「永久连接中」，让它们没空去扫别人。
核心功能拆解：单文件 C 程序，零依赖，编译即用；自带速率限制和连接数上限防止自己被 DDoS；有 Go 语言重写版 endlessh-go 加了 Prometheus 指标。作者 skeeto 是知名的极简主义程序员，整个项目是对「用最小复杂度解决实际问题」的完美演示——这也是它 Star 远超许多重型蜜罐的原因。
上手难度：⭐ 适用人群：所有被爆破烦到的人，VPS 一行命令部署。变现思路：不好直接卖，但它是极好的技术内容素材和运维套件里的口碑配件。
一句话定位：工控/SCADA 蜜罐——用一台虚拟「电厂」钓出专打基础设施的黑客。
解决什么痛点：电力、水务、楼宇控制的 SCADA/Modbus/S7comm 协议是 APT 组织的重点目标，但真实工控设备绝不可能拿出来当靶子。Conpot 由德国 Honeynet 项目组维护，能在普通服务器上仿真出完整的工控环境：假 PLC、假电表、假门禁控制器，带真实的协议应答时序，连设备厂商型号都仿真到位。
核心功能拆解：架构上把「协议处理」和「仿真数据」解耦——同一套核心可以换不同行业的仿真模板；支持 Modbus、S7comm、SNMP、HTTP 等工控常见协议。Star 数不高，但在 OT 安全研究领域几乎无人不晓，学术引用极多。据其官方仓库，定制一个新模板只需改 XML。
上手难度：⭐⭐⭐⭐（需要懂一点工控协议背景） 适用人群：OT 安全工程师、能源/制造业安全团队。变现思路：OT 安全人才极度稀缺，围绕它的仿真环境做培训课程和红队靶场，客单价远高于 IT 安全。
一句话定位：一个 Python 库同时假装 30 种服务——写两行代码，你的应用就自带反侦察雷达。
解决什么痛点：前面几个蜜罐都是「独立部署」的，想在现有应用旁边快速加一层诱饵很麻烦。这个项目把 FTP、SSH、HTTP、MySQL、Redis、SIP 等 30 种协议的蜜罐全部做成可编程 API：start_one() 一行起一个，也可以全部起；所有捕获事件实时推到本地服务器或 React 前端仪表盘。
核心功能拆解：纯 Python、单机无依赖，可当库导入也可当 CLI 跑；支持自定义响应脚本，比如让假 Redis 返回你预设的数据；自带多状态可视化界面。对开发者最友好的场景是「嵌进产品」：给自研设备/客户端加一层假端口，把攻击信号直接打进你的主程序。据其官方仓库，它还能配合Packet错误注入做钓鱼应答。
上手难度：⭐⭐ 适用人群：独立开发者、IoT 厂商、想在产品里内置「防扫雷达」的团队。变现思路：把它封装进自有产品的安全模块，作为收费增值功能——「自带入侵告警」是很好的卖点。
| 仓库 | 类型 | Star(约) | 上手难度 | 最佳场景 |
|---|---|---|---|---|
| Cowrie | 中交互SSH蜜罐 | 5000+ | ⭐⭐⭐ | 公网诱捕、样本收集 |
| OpenCanary | 内网诱饵告警 | 2800 | ⭐⭐ | 中小企业内网雷达 |
| Canarytokens | 令牌绊线 | 1500 | ⭐⭐ | 密钥泄露/文件追踪 |
| T-Pot | 蜜罐平台全家桶 | 5000 | ⭐⭐⭐ | 威胁情报研究、SOC大屏 |
| Endlessh | SSH协议拖沓 | 7000+ | ⭐ | VPS止血 |
| Conpot | 工控SCADA蜜罐 | 1000 | ⭐⭐⭐⭐ | OT安全研究 |
| QeeqBox Honeypots | 30合1可编程蜜罐 | 1400 | ⭐⭐ | 嵌入产品的反侦察 |
mindmap
root((开源蜜罐与欺骗防御))
拖慢消耗
Endlessh
诱捕取证
Cowrie
T-Pot
Conpot
精准告警
OpenCanary
Canarytokens
QeeqBox Honeypots
变现路径
安服托管月费
威胁情报售卖
嵌入产品增值功能
[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。