implementing-canary-tokens-for-network-intrusion

用途：在网络基础设施中布置基于欺骗的绊线，检测入侵、未授权访问敏感资源及攻击者横向移动，作为传统IDS/IPS的补充，具有近乎零误报的特点。主要能力：支持DNS令牌（触发于域名解析）、HTTP令牌（触发于HTTP GET并记录来源IP与User-Agent）、AWS API密钥令牌（触发于使用伪造凭据调用AWS API）、克隆站点、SVN、SQL Server等类型；可经Webhook向Slack、Teams、邮件或SIEM推送告警。使用方式：先创建令牌，例如向 https://canarytokens.org/generate 提交 type、email、memo、webhook_url 等参数获取hostname或凭据，再将令牌植入 /etc/hosts、应用配置、.ssh/config、内网Wiki、书签文件、~/.aws/credentials、.env、CI/CD环境变量等位置；企业版可用canarytools库连接Thinkst Canary控制台批量创建与查询告警，也可用Flask接收Webhook并写入日志。前置条件包括Python 3.8+与requests、可访问canarytokens.org或自托管实例、Webhook端点、目标系统管理权限及部署授权。限制：资料未提供具体价格与收费信息；部署需在授权范围内进行，自托管实例需加固与监控，建议按季度轮换令牌。