在 APNIC 于 bdNOG 举办的三天网络安全研讨会上，讲师部署 SSH 蜜罐 Kippo 并设置弱凭据（root/123456），实测记录攻击者扫描、爆破、登录后行为，直观验证“上线即被发现、弱口令必被控、失陷主机成跳板”三大铁律，并将观测数据直接转化为访问控制、强认证、应急预案、风险评估四项落地建议。
蜜罐部署与观测数据：
研讨会前几周，讲师在公网搭建 Kippo SSH 蜜罐，仅开放弱凭据 root/123456。原文未给出具体部署时长与流量总量，但记录了四类统计图表：尝试次数最多的前 10 个密码、每日成功登录次数、前 10 组用户名-密码组合、尝试次数最多的前 10 个用户名。图表显示攻击者在极短时间内通过扫描发现服务并发起字典爆破，弱凭据在数小时内即被命中，成功登录后随即下载脚本、探测内网、发起横向攻击。原文未给出具体攻击 IP 数量、恶意载荷样本哈希或后续利用链路细节。
教学转化与最佳实践映射：
讲师将观测现象逐条对标安全框架：① 资产上线即被扫描 → 落实访问控制列表，限制管理端口来源地址；② 弱口令导致瞬间失陷 → 强制复杂密码策略，关键系统启用双因子认证；③ 失陷主机成为跳板 → 制定事件响应预案，明确隔离、取证、通报、恢复分工与时限；④ 缺乏风险视角 → 定期开展资产梳理与威胁建模，量化缓解措施优先级。研讨会现场同步演示如何从 pcap、日志、攻击脚本等“工件”中提取 IOC、还原攻击链，原文未给出具体分析工具链或自动化流程。
对运维与网络工程师的实战意义：
用最低成本在实验环境复现真实攻击全链路，比纯理论讲解更能说服管理层投入基线加固预算。工程师可直接复刻 Kippo 部署，结合内网流量镜像、日志审计平台，建立“部署—观测—加固—复核”闭环，将蜜罐数据纳入日常巡检指标，在攻击者触达核心资产前完成暴露面收敛与应急演练。
原文: APNIC Blog（2014-08-12）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog