在公网环境中，各类自动化扫描、测绘采集、远程登录尝试长期持续存在。传统边界防护属于后置检测，只有外部访问流量抵达业务资产之后，才能够基于特征库做识别管控。蜜网（Honeynet）作为主动观测技术，依靠诱饵服务捕获外部探测行为，产出网络情报。

自建跨地域蜜网存在不小门槛，需要多运营商节点、带宽资源，还要持续维护节点、清洗海量日志，对于个人研究者、小型安全团队来说成本较高。 最近在研究托管式蜜网体系，以 TrapCloud 作为样本案例，拆解这套分布式诱捕网络的架构、行为判定逻辑、情报输出模型，同时探讨探测方与诱捕平台之间的博弈关系，欢迎各位同好一起讨论。

1. TrapCloud 基础架构：跨运营商诱饵节点集群

TrapCloud 在国内多个省份，电信、联通、移动三大运营商网络内部署数百个独立公网诱饵 IP。节点上仿真多类常见服务，包含 SSH、RDP、Telnet、数据库、Web、邮件、打印、工控仿真、医疗影像等协议。

核心设计约束：所有诱饵 IP 不承载任何真实业务，不存在正常业务访问。 普通互联网用户、正规业务系统不会主动访问这类孤立 IP。凡是主动向诱饵 IP 发起连接的访问行为，来源基本分为下面几类：

1. Zmap、Masscan 这类自动化端口扫描工具
2. 各类服务指纹探测脚本
3. 人工远程探测行为
4. 网络空间测绘引擎
5. 不遵循 robots 协议的批量网页采集程序

这个架构最大优势是基线干净。判定逻辑依托连接行为本身，不是单纯依靠静态特征匹配，大幅减少混杂业务流量带来的数据清洗成本。只要建立连接，就天然带有探测属性。

2. 情报标签体系与数据输出机制

TrapCloud 会对捕获的访问源 IP，基于行为特征打上标签，使用者可以按需筛选 IP 集合，用于边界访问控制：

1. 高危访问源：多次远程登录尝试、异常服务交互数据包的 IP
2. 测绘探测源：网络空间测绘引擎探测节点，适合资产暴露面收敛场景
3. 可疑扫描源：批量端口、服务指纹探测，暂未观测到异常交互行为
4. 自动化采集源：无视页面 robots 规范，全站遍历抓取的网页采集 IP

独立网页采集识别子模块

平台内置一套独立识别网页批量采集的机制：在合作站点部署轮换式隐藏探测链接。这类链接不在页面正常渲染链路，配置 robots 限制，合规搜索引擎爬虫不会触发访问。只有暴力全站遍历、无视爬虫规范的采集程序，才会命中探测点。

采集 IP 单独输出清单，网页采集 IP 与高危访问 IP 分离输出。 这个设计比较贴合运维处置思路：高危访问源可以直接阻断；网页采集程序适合限流、验证码等柔性管控手段，差异化处置。

3. 接入方式：托管情报输出，无需本地部署蜜罐节点

整套诱饵节点集群，全部由 TrapCloud 平台侧统一运维，使用方不需要新增硬件、部署软件，也不用改动现有网络拓扑。

• 静态导出：控制台下载 IP 清单，格式兼容网关、防火墙、WAF、IPS 等主流边界设备导入；
• 动态同步：开放标准 API 接口，支持定时拉取最新 IP 清单，自动更新访问控制策略。

数据集分级开放：基础数据集可免费获取；更长周期历史记录、高频推送、更高接口调用额度为进阶选项。

4. 博弈层面分析

从攻防博弈角度，这类托管蜜网并非无懈可击。 探测方如果长期持续观测诱饵节点特征，积累样本，理论上可以归纳诱饵 IP 段，编写规则进行规避。

但 TrapCloud 是跨省份、多运营商数百节点分布式组网。探测方想要完整标记、批量绕过全部诱饵 IP，需要持续投入大量带宽、算力、人工标记成本。从投入产出比评估，大规模规避这套诱捕网络，在真实互联网环境落地难度很高。

同时有一点需要明确：IP 访问黑名单只能作为纵深防御里的补充手段，不能替代系统基线加固、最小权限策略、系统更新等基础安全措施。黑名单条目体量过大时，还要评估边界设备性能开销，避免引入次生风险。

5. 适用场景讨论

1. 边界安全设备定时同步 IP 名单，前置拦截外部探测流量；
2. 收敛公网资产暴露范围，降低资产被测绘引擎收录概率；
3. 识别网页批量采集行为，区分爬虫流量与高危远程访问；
4. 应急处置阶段，快速获取最新探测源 IP，执行临时访问管控。

6. 小结

TrapCloud 这类托管式异地分布式蜜网，解决了自建蜜网跨地域部署、运维成本高的痛点。它将安全观测节点前置，在探测流量抵达真实业务资产前完成识别，适合缺少资源搭建自有蜜罐集群的安全研究者、运维团队。

但落地使用前，需要结合业务场景评估黑名单体量、设备负载、误判风险。蜜网情报只是防御体系的一环，必须配合基线加固、访问控制、审计告警等措施组合使用。

声明：本文仅网络安全技术研究，以 TrapCloud 作为蜜网案例进行架构与博弈探讨，不做任何产品选型、使用推荐，文中观点仅代表个人研究，欢迎理性讨论。

传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！！