攻击者不论通过何种方式进入我们的网络，目标其实无非是数据或者进行破坏（目前多数还是以数据为目标）。那我们就可以通过部署诱饵文件的方式，来检测系统被入侵。

在下面的例子中，我们使用python的inotify库监控root用户家目录下的两个ssh私钥文件'ssh_key_132'和'ssh_key_148'的访问，因为这两个文件正常情况下不会被访问，一旦被访问，则能判断主机已失陷，然后通过飞书的机器人进行告警，当然也可以使用其他机器人，比如企微机器人，钉钉机器人，或者通过SIEM平台。

对于一些业务系统可能存在防病毒产品会扫描系统文件的情况，从而产生误报，所以需要提前加白。但安全产品多数不会安装防病毒产品。

要创建ssh诱饵私钥，我们可以使用ssh-keygen，然后使用下面的脚本监控文件的访问：

# pip install inotify# pip install requests
import inotify.adaptersimport jsonimport requests
webhook = 'https://open.feishu.cn/open-apis/bot/v2/hook/9a......5'
def send_msg(url,msg):   json_header = {"Content-Type": "application/json"}   data = {"msg_type":"post",           "content":{               "post": {                     "zh_cn": {                            "title":"Honey SSH Key was accessed!!",                            "content": [                                 [                                     {   "tag":"text",                                         "text":"FileName: "                                          },                                     {                                         "tag": "text",                                         "text": msg['file']                                         }                                     ]                                ]                        }                   }               }           }    try:       r = requests.post(url,data=json.dumps(data).encode('utf-8'),headers=json_header)       #print(r.text)   except Exception as err:       #print(err)       pass
def watch(path,honey_file):    i = inotify.adapters.Inotify()
    i.add_watch(path)
    for event in i.event_gen(yield_nones=False):        (_, type_names, path, filename) = event
        print(type_names)        if filename in honey_file and 'IN_OPEN' in type_names:            msg = {'file':filename}            #print("PATH=[{}] FILENAME=[{}] EVENT_TYPES={}".format(            #  path, filename, type_names))
            send_msg(webhook,msg)
if __name__ == '__main__':    path = "/root/.ssh/"    honey_file = ['ssh_key_132','ssh_key_148']
    watch(path,honey_file)

上面主要是提出安全产品目前缺少自身的防御和检测机制的现状，以及利用欺骗进行检测的思路。关于欺骗技术的应用，大家也可以参考之前的一篇文章：主动防御&网络欺骗：让网络防御成为一种艺术

最近刚看了《长空之王》这部电影，个人感觉还是挺不错的。其实网络安全领域和军事领域类似，也是落后于国外，也面临技术封锁（比如微软的ATP，现在为MDI，就对中国大陆限制出口）。但是区别在于军事领域国外战机不会帮你骗自己，不会用PPT和EXCEL表格来证明你的战斗机很先进。而网络安全领域就不同了，我们可以自己骗自己，或者帮助一些既得利益者骗自己。就如前段时间公开的十几年前国外APT组织对我们某个大学的攻击一样，反正都落后了十几年了，现在这样玩，大不了落后个二三十年又如何，反正我们总能找到理由和借口。

但是，作为安全从业人员，难道真的做不了什么吗？我相信还是可以做些什么的。只希望真正热爱这个行业的人不要忘记初心。这里我举个例子，比如要给客户发一份报告，客户第二天10点以后上班才会看，那我们就没必要下班以后发。有人可能想让领导觉得工作很认真，下班也在干活，但长此以往，别人就会认为下班加班是理所当然的事。当然我不是说下班后什么都不管，紧急的事比如应急响应，还是需要处理，但这是合理的。

所以要做出改变，并不需要你成为CSO或者技术总监，在力所能及的范围内做出点什么，总比找借口强。希望安全行业的兄弟们能够站着为客户解决问题，实现自己理想的同时也能养家糊口，而不是跪着连汤都喝不上😈。

最后，也希望各安全公司能对自己的产品加入上述的能力，不仅可以检测入侵活动，也可以检测代码是否被破解，来保护知识产权。大家在采购安全产品时，也可以将安全产品能否检测自己被入侵作为一个评估项，并进行评估，而不要过度相信投标书和白皮书里面的参数。