用途：在自己的环境中部署蜜标（honeytokens / canarytokens）作为欺骗性防御控制。蜜标是无任何合法用途的诱饵制品（凭据、文件、URL、API 密钥、DNS 名、数据库连接串、文档），任何交互即为入侵、内部滥用或侦察的高保真信号，误报极低。
主要能力：基于 Thinkst 开源 Canarytokens 生成多种令牌，触发后“回连”告警，包括 HTTP/Web-bug URL（GET 触发）、DNS 令牌（解析触发）、AWS API 密钥（对 AWS 调用触发）、MS Word/PDF 文档（打开触发）、Slack API 令牌、kubeconfig、Azure 登录证书、log4shell 载荷等。每个令牌绑定唯一 memo 与告警通道（邮件或 webhook）。
使用方式：可自托管（thinkst/canarytokens-docker，需 Docker Engine 与 Compose v2，注册域名与 DNS 委派，可达 80/443 与 53/udp，SMTP/Mailgun 或 webhook，Python 3.8+ 并 pip install requests）或使用公开服务生成账户免费令牌。
适用场景：传统遥测稀疏的网段（文件共享、密码库、代码仓库、云账户）中的高保真检测；验证到达关键主机或文档存储的攻击者是否被发现；放置到可被 LSASS 触及的内存、浏览器存储、.aws/credentials、密码管理器以捕获凭据转储与复用；检测数据窃取与勒索软件准备；构建符合 MITRE D3FEND（D3-DF、D3-DUC、D3-DO）的欺骗层。
限制与注意：仅限授权使用，只可部署在自有或明确授权的基础设施上，不得用于诱捕第三方，否则可能违反计算机滥用法与隐私法；告警数据应经批准的监控通道；诱饵凭据不得与生产密钥同处，令牌不得提交至公共仓库或部署在范围外系统。自托管需自行准备域名、公网 IP、邮件或 webhook 与 DNS 配置。