用途：在文件服务器或 NAS 上部署金丝雀文件与蜜罐共享，作为勒索软件早期预警的欺骗层，补充 EDR 与 SIEM 检测，误报率极低。
主要能力：在文件共享中放置命名靠前、看似重要的诱饵文件；用 Windows FSRM 屏蔽已知勒索扩展名（如 .locked、.lockbit）；用 PowerShell FileSystemWatcher 实时监控金丝雀文件的修改、删除与重命名；创建诱饵 SMB 共享并启用详细审计；通过 Thinkst Canary 或 canarytokens.org 生成 Word、PDF、Windows 目录等金丝雀令牌；将告警转发至 SIEM，并可调用 NAC 或 EDR API 自动隔离主机。
使用方式：需具备文件服务器管理权限、FSRM 或等效文件活动监控、SIEM 平台，可选 Thinkst Canary 等欺骗平台。典型流程为部署金丝雀文件、配置完整性监控、创建蜜罐共享、生成令牌、集成告警与自动响应。示例命令包括 Install-WindowsFeature -Name FS-Resource-Manager -IncludeManagementTools、New-FsrmFileScreen、Register-ObjectEvent 以及 curl 调用 Canary API。
适用场景：文件共享环境的勒索软件早期检测、横向移动与数据暂存探测、用受控加密工具验证检测能力。
限制：不可作为唯一检测机制；需避免只放根目录、使用过于明显的文件名、未端到端测试告警、在正常迁移或杀毒扫描时产生大量误报。资料未提供具体价格、平台兼容性细节与效果数据。