為什麼選 Windows 蜜罐？

• 門檻低： 熟悉 Windows 操作、GUI 配置、無需深厚 *nix 內核/腳本功底。
• 誘餌真實： 企業內網絕大多數為 Windows，部署真實 Windows 服務 (IIS, MSSQL, Exchange, AD, 文件服務器) 极大提高駭客互動真實度、捕獲針對性攻擊樣本。
• 風險可控： 虛擬機隔離 (VPC/VMware/Hyper-V/VirtualBox) + 快照回滾 + 僅主機/內部網絡模式 + 宿主機防火牆/EDR 監控，風險可接受。

架構設計：單機高交互蜜罐

[攻擊者 Internet] 
      ↓ (NAT/端口映射/防火牆策略)
[宿主機] ←→ [虛擬機蜜罐 Windows 2000 Pro/Server 2003/XP/Win7]
      ↑                     ↑
[日志/流量/樣本收集服務器]  [蜜罐內部監控 Agent]

核心組件清單與部署要點

1. 虛擬化平台：Virtual PC 2007 / VMware Workstation / Hyper-V / VirtualBox

• 創建 VM：分配 512MB-1GB 內存、10-20GB 動態磁盤、網絡模式 **NAT** (宿主機共享 IP、隱藏真實 MAC) 或 **僅主機模式** (完全隔離, 需宿主機路由/防火牆轉發特定端口)。
• 安裝 **Windows 2000 Professional SP4 ISO** (經典蜜罐目標, 漏洞豐富) 或 **Windows Server 2003 R2 SP2 / XP SP3 / Win7 SP1** (視誘餌目標)。**不安裝補丁、關閉防火牆、啟用 Guest/Administrator 空密碼、開放所有默認服務 (IIS, RPC, SMB, NetBIOS, Terminal Services)** — 模擬極弱防護環境。
• 快照： 乾淨安裝完成即刻建立「Clean」快照，每次實驗/被攻陷後秒級回滾。

2. 系統日志轉發：Evtsys (WinSyslog) / NXLog / Winlogbeat

• 原文提到 `evtsys_exe.zip` — 經典開源工具，將 Windows 事件日志 (系統/安全/應用) 實時轉發為 Syslog (UDP 514) 至遠程日志服務器。
• 部署：蜜罐內以管理員運行 `evtsys -i -h -p 514` 安裝為服務；配置 `evtsys.cfg` 過濾高噪音事件 (如 538/540 大量登錄/注銷) 僅轉發關鍵事件 (4624/4625/4648/4672/4688/4698/4700/4701/4702/4720/4722/4723/4724/4725/4726/4738/4740/4776/5156/5158/8000+)。

3. 命令行審計：Comlog (comlog101.zip) — Perl 實現的 cmd.exe 封裝記錄器

• 原理：重命名原 `cmd.exe` → `cmd_real.exe`，將 `comlog.exe` 重命名為 `cmd.exe` 放入 `System32`。攻擊者/用戶啟動 `cmd` 實際運行 `comlog`，它記錄命令行參數、時間、進程 ID、父進程、當前目錄、環境變量 → 寫入日志/發送 Syslog → 調用真實 `cmd_real.exe` 執行命令 → 返回結果。**進程列表顯示 `cmd.exe`，極難發現。**
• 現代替代：**Sysmon (Event ID 1 Process Create 含完整命令行) + PowerShell Script Block Logging (4104) + 模塊日志 (4103) + 轉錄日志** — 無需替換系統文件、簽名合法、性能開銷低、EDR 原生支持。

4. 專業日志收集分析：Kiwi Syslog Daemon / Graylog / ELK (Elasticsearch+Logstash/Kibana) / Splunk / Wazuh

• 接收蜜罐 Syslog (UDP/TCP 514, TLS 6514)、SNMP Trap、文件日志。
• 解析規範化 (Grok/解碼器)、富化 (GeoIP/威脅情報/資產標籤)、儲存索引、儀表板可視化 (攻擊來源 TOP10、攻擊類型分布、時間熱力圖、高危事件詳情)、告警規則 (暴力破解、Shell 獲取、權限提升、異常進程、文件寫入敏感目錄)。

5. 全流量包捕獲分析：Ethereal (Wireshark 前身) + WinPcap (Npcap 現代替代)

• 宿主機/鏡像端口部署 Wireshark/Npcap，捕獲蜜罐 VM 所有進出流量 (PCAPNG)。
• 關鍵分析：IRC C2 通信解碼 (Ethereal/Wireshark 強大解析器)、異常協議/端口、明文密碼/郵件/文件傳輸、漏洞利用載荷特徵 (如 MS08-067 緩衝區溢出特徵)、DDoS 流量特徵、DNS 隧道、HTTP 惡意下載/上傳。
• 自動化：Zeek (Bro) / Suricata / NetworkMiner / CapAnalysis 批量提取文件/證書/主機名/用戶代理/會話重組。

6. 完整性基線與檢測：md5sum.exe / Tripwire / AIDE / OSSEC / Wazuh Agent

• 乾淨快照狀態下計算關鍵文件 (系統文件、啟動項、服務二進制、關鍵配置) MD5/SHA256 基線庫。
• 定期/事件驅動 (文件變更通知) 掃描對比，發現未授權修改/植入/Rootkit 隱藏文件 (對比 `dir /s` 與 API 枚舉差異)。

7. 宿主機防護：綠色警戒防火牆 / Windows Defender 防火牆進階 / 宿主機 EDR

• 限制蜜罐 VM 僅能訪問：日志服務器 (Syslog), 更新服務器 (若需模擬更新)、DNS、NTP。**嚴禁蜜罐主動攻擊外部/橫向移動至生產網絡。**
• 宿主機部署 EDR 監控 VPC/VMware 進程異常行為 (逃逸嘗試、共享文件夾竊取、GPU 虛擬化漏洞利用)。

針對 Dvldr 蠕蟲 (弱口令蠕蟲) 的專項捕獲配置

• 確保蜜罐開放 445/139/135/3389/1433/3306/5432/6379 等高危端口。
• 設置弱口令賬號：`Administrator`/`admin`/`test`/`guest`/`user` 密碼為空/`123456`/`password`/`admin`/`123`/`root`/`pass`/`admin123` 等字典前 100。
• 啟用 `evtsys` 轉發 4625 (登錄失敗) 4624 (登錄成功類型 3/10) 4776 (NTLM 驗證) 事件至日志服務器，實時告警「疑似 Dvldr/弱口令爆破活動」。
• 部署 `Kippo` (SSH 蜜罐) / `Dionaea` / `Cowrie` / `Conpot` (ICS/SCADA 蜜罐) / `Heralding` (多協議蜜罐) 於同網段/宿主機，構建**蜜罐網絡 (Honeynet)**，提高捕獲多樣性。

法規與倫理紅線

1. 嚴禁主動攻擊： 蜜罐僅被動接受連接，**不得**作為跳板攻擊第三方、發送垃圾郵件、挖礦、分發惡意代碼、參與 DDoS。
2. 數據保護： 捕獲的攻擊樣本、駭客工具、憑證、受害者數據 (若誤入) — **嚴格加密存儲、訪問控制、定期銷毀、不得泄露/販賣/用於非研究目的**。
3. 備案與授權： 企業內部部署需信安部/法務/IT 審批簽署；對外部署 (互聯網面向) 需評估法律風險 (誘捕陷阱合法性爭議)、配合執法機關打擊網絡犯罪。
4. 隔離與監控： **物理/邏輯隔離** 生產環境，**全流量/全日志/全內存** 記錄，**專人/自動化 7×24 監控**，異常即刻熔斷隔離。

蜜罐是「觀察者」而非「參與者」。**低門檻 ≠ 低責任**。唯有嚴格隔離、完整記錄、合規運營、持續分析、威脅情報轉化，蜜罐才能從「靶子」升級為「雷達」與「訓練場」。