用途：在文件服务器或终端上建立勒索软件的早期预警检测，作为基于欺骗的检测层补充EDR/AV，捕捉未知勒索变种；可用于验证响应流程、保护财务/HR/法务等高价值共享目录。注意：诱饵文件只是检测机制而非防御机制，不能作为唯一防线，应与备份、EDR和访问控制配合。
前提条件：Python 3.8+ 及 watchdog 库；对目标共享或终端的管理权限；文件完整性监控（FIM）工具或 SIEM 集成；了解目录结构以在高价值位置放置诱饵；Windows 需 NTFS 更改日志或 ReadDirectoryChangesW API，Linux 需内核 inotify 支持。
主要能力与流程：
- 设计诱饵策略：命名按字母排序最前或最后（如 _AAAA_budget_2024.docx、~zzzz_report_final.xlsx）；放置在共享根目录、端点桌面/文档/下载、部门共享、备份暂存目录、高权限账户主目录；类型覆盖 .docx、.xlsx、.pdf、.sql、.bak 等。
- 生成逼真诱饵文件，可含真实内容与元数据，或用已知内容做哈希校验。
- 部署文件系统监视器，基于 watchdog 的 Observer 与 FileSystemEventHandler 监控修改、删除、重命名事件。
- 配置告警与响应：修改为 CRITICAL，删除为 HIGH，重命名为 CRITICAL 并比对已知勒索扩展名，60 秒内多个诱饵触发为 EMERGENCY，可自动杀进程、隔离端点甚至全网隔离。
- 验证覆盖：用 echo 或 mv 模拟加密与重命名，确认告警在预期时间（30 秒内）生成并路由至 SOC/SIEM，验证自动响应执行、备份恢复后诱饵存活，并排除备份代理、AV 扫描等合法误报。
关键概念：金丝雀文件、蜜标、文件完整性监控、ReadDirectoryChangesW、inotify。相关工具：watchdog、Canarytokens（Thinkst）、OSSEC/Wazuh、Elastic Endpoint、Sysmon（事件 ID 11）。
限制：官方资料未提供具体定价、性能数据或平台支持矩阵；诱饵机制依赖监控与告警链路正常，且需避免合法用户与备份/杀毒进程触发误报。