用途：部署欺骗技术（蜜罐、蜜标、诱饵系统），检测已绕过边界防御的攻击者，为SOC提供高保真、近零误报的检测信号，覆盖横向移动、凭据滥用、云密钥泄露、勒索软件早期预警和内部威胁等场景。
主要能力：映射攻击面并规划诱饵放置（服务器VLAN、数据库VLAN、AD/DC、高管子网、DMZ、OT网络、云VPC）；部署Thinkst Canary等设备模拟Windows文件服务器、Linux MySQL数据库等真实基础设施；在Active Directory中创建蜜标账户并植入缓存凭据；通过Canary API生成Word文档、AWS访问密钥等蜜标；将欺骗告警接入SIEM/SOAR并自动隔离源主机、封禁IP、创建高优先级工单；定期轮换蜜标密码、更新文件时间戳、添加仿真流量以维持诱饵真实性。
使用方式：先识别高价值网段并绘制部署图，再配置Canary设备（如FILESERVER-BK04、DB-ARCHIVE-02），用New-ADUser创建蜜标账户并加入Domain Admins，用cmdkey植入缓存凭据，通过Canary API创建文档和AWS密钥蜜标，最后在Splunk中监控蜜标账户使用并配置SOAR自动响应。
适用场景：SOC团队检测后渗透横向移动、现有工具漏报的高级攻击者、凭据滥用检测、网络分段缺口补偿检测、云环境横向移动检测。
限制：不能替代补丁、EDR、网络分段等基础安全控制，欺骗只是检测层而非预防机制；需要预先识别网段、部署欺骗平台、集成SIEM、具备AD访问权限并协调网络团队分配IP和路由。具体收费、价格、平台效果等资料暂未提供。