## 选项对比
入侵检测的三种典型手段：基于规则的告警，覆盖已知特征；异常行为分析，发现偏离基线的动作；蜜罐，部署没有业务用途的诱饵，任何触碰都天然可疑。蜜罐的独特价值在于误报率极低，正常用户没有理由访问一个不提供任何服务的地址，碰了就值得看一眼。
## 各自适用面
规则与异常分析适合绝大多数生产环境，覆盖广、可自动化。蜜罐适合两类场景：一是高价值资产的纵深防御，在内网关键路径放置诱饵，横向移动一触碰即告警；二是情报收集，在暴露面放置伪装服务，观察攻击手法与工具。蜜罐不适合作为唯一防线，它只能告诉你有人在，挡不住人进来。
## 选择建议
中小团队部署蜜罐，把握三个边界。位置边界：诱饵放在攻击者必经的路径上才有价值，例如管理网段、闲置的旧服务地址，不要放在用户正常流量可达的地方。维护边界：蜜罐需要有人看告警、更新伪装内容，无人维护的蜜罐只是摆设，团队没有精力就不要铺开。误伤边界：确保内部巡检与自动化任务不会误触蜜罐产生噪音，把它们加入例外清单。
部署可以从最简单的几台开始，配合顺云防火墙规则限制蜜罐的可达范围。真实价值在告警联动：蜜罐触发即视为高危事件，直接进入应急流程，这才是它相对于普通告警的分量。蜜罐的告警通道要与现有值班体系打通，深夜触发同样有人响应，否则诱饵布置得再好也只是延迟发现。每月检查一次诱饵服务的存活状态，伪装进程挂了及时重启，长期不维护的诱饵不仅无效，还可能被反过来利用。规模上宁少勿多，几个高质量诱饵胜过几十个没人看的摆设。