用途：在文件服务器、NAS 或终端系统上部署主动式勒索软件检测，构建在数据被加密前发出预警的早期告警系统；也可在无法部署 EDR 代理的系统上作为轻量补充，或用于演练勒索响应流程。注意：诱饵文件只是检测层，不能替代终端防护、备份策略或网络分段。
主要能力：生成名称逼真、内容看似可信但实为伪造的诱饵文件（如 Passwords.xlsx、Financial_Report_2026.docx、backup_credentials.csv），放置于用户桌面、Documents、网络共享根目录和备份路径等勒索软件优先攻击的位置；用 watchdog 的 FileSystemEventHandler 监控这些路径，在 on_modified、on_deleted、on_moved、on_created 事件上触发；通过 SMTP 邮件、Slack webhook、syslog 转发至 SIEM 及本地日志等多渠道告警，告警内容含事件类型、文件路径、时间戳和进程信息。
使用方式：需 Python 3.8+ 与 pip，安装 watchdog（pip install watchdog），具备目标目录写权限，以及 SMTP 凭据或 Slack webhook URL，放置到系统目录需管理员权限。流程为：生成诱饵文件、部署文件系统监控、配置告警管道、通过程序化修改/重命名/删除诱饵文件验证检测并测量告警时延。相关工具包括 watchdog、smtplib、requests、hashlib（SHA-256 完整性校验）、psutil（进程信息）。
适用场景：共享盘、主目录、备份卷的未授权文件操作监控；无法装代理的系统；勒索响应演练。
限制：正常用户或进程不应触碰诱饵文件，任何交互都视为高置信度指标，但需注意误报排查；具体部署脚本、告警配置细节及性能数据资料暂未提供。