Linux 下常用工具列表，可以参考进行安装： tcpdump：网络抓包工具 curl：HTTP 请求工具 vim：编辑文件工具 strace：跟踪系统调用工具 tmux：终端窗口工具 net-tools：其他网络工具 sysstat：性能监控

Ubuntu 下安装，执行：

CentOS 下安装，执行：

管理节点 CPU：>= 8 核 内存：>= 16 GB 数据盘容量：>= 500 GB，云服务器需要检查所选数据盘 IOPS 值大于 1000

探针节点 CPU：>= 1 核 内存：>= 2 GB 数据盘容量：>= 20 GB

要求内核版本大于 3.10，构建时间晚于或等于 2017 年。

若没有 ext4 分区，需要新建分区并使用 mkfs.ext4 进行格式化，具体可参考: fdisk 分区格式化为ext4格式分区

需确保系统的 UTC 时间为正确的 UTC 时间。如果发现时区不对，可通过timedatectl命令快速修改

getenforce 结果不是 Enforcing 则表明 SELinux 已经成功关闭。 cat /etc/selinux/config 查看为 disabled 则表明开机默认关闭 SELinux。

若看到 Active: inactive (dead) 字样，表明 Firewalld 关闭成功

提示没有安装docker即可，如有安装，需确保docker 是18.06.2 及以上的稳定版，否则需要卸载原有docker再进行安装。 卸载旧版本docker参考：

确保所有容器状态都为 up，如下图所示:

访问管理地址，上传 license 并登陆。若能正常访问管理界面，而且 蜜罐管理-模版管理 中能添加若干蜜罐的模版，其中部分蜜罐还有预置的模版(例如 自定义 Web(Python) 蜜罐)，则说明安装成功:

安装蜜罐拓展包（可选）

a) 虚拟机蜜罐: i. 确保安装时已开启虚拟机蜜罐模块:执行“docker ps”查 看有没有“vm_domain”容器。若没有，则进入 docker- compose 所在文件夹，执行 docker-compose down，然后重 新执行安装脚本 ./installer，并选择 “软件+虚拟机蜜罐 拓展(sw+vm)”

ii. 将拓展包文件解压到 /var/lib/libvirt/images

iii. 执行 “docker restart vm_domain”，再执行 “docker restart dsensor_redis”即可

b) .zip 后缀名蜜罐:解压到安装目录，然后在解压文件夹内运行 ./install.sh

关闭SElinux及Firewalld（Ubuntu 系统可跳过）

2.在管理节点界面右上角个人中心生成个人token 3.推荐选择wget方式下载agent程序到探针节点执行安装 linux系统：

windosw系统：

您的 Token这里是指在个人中心生成的api token值

a）基于默认模板创建 谛听系统自带有默认模板，可基于默认模板创建系统服务蜜罐，或特定缺陷蜜罐，特定框架类漏洞蜜罐（web）： 在模板管理页面点选左侧对应选项，可进入对应页面，进行创建模板操作，例如此处利用自带的ftp模板进行创建，点击创建后填入对应信息，上传完成后即完成模板创建。 同理，其他类型蜜罐基于自带的模板配置时，均为类似操作，其中模板名称设置成管理员易于识别即可。

b）自定义web创建模板 配置模拟真实业务等蜜罐，支持静态页面模拟，如有复杂交互，则无法支持。需提前跟客户获取web页面数据（最好可以让客户从服务器直接拷贝），基于zip压缩包正确填写首页地址。web页面如无法从服务器拷贝，可自行通过第三方工具爬取页面进行配置。 如下面以一个仿真OA系统为例：

编辑完成后点击上传，即可完成模板创建。

蜜罐管理-蜜网管理页面，可进行蜜网的新增和重命名。其中“是否允许访问外网”仅可在创建蜜网时进行选择。勾选“运行访问外网”后，蜜罐可以使用管理节点设备的网络资源。开启存在安全风险，如非必要不建议开启。

a）探针状态编辑和检查

探针管理页面，点击选定的探针进入该探针的编辑页面，开启ping扫描检测和ARP欺骗检测选项：

b）探针绑定蜜罐服务

在探针管理页面，点击选定的探针进入该探针的编辑页面，可看到探针基础信息，包含探针名称，IP，检测设置和服务状态等信息，可直接点选绑定服务选项，进行绑定蜜罐服务配置。 点击添加服务按钮，可将新创建的蜜罐服务绑定到该探针上。 编辑完成后返回上一级页面，等待探针服务绑定完成，且服务状态显示正常。 同理，其他蜜罐均需执行类似的绑定操作，才会启用生效。 查看已绑定服务情况：

c）系统类蜜罐服务验证

探针编辑页面确认服务绑定运行正常后，对于系统服务页面，可基于对应绑定到服务进行相应访问连接操作，触发谛听的日志告警记录，并正常查看到端口探测日志，蜜罐入侵日志。

例如，ssh蜜罐，则进行ssh登录对应探针的IP:PORT,触发告警；对于FTP蜜罐，则进行ftp访问触发告警，RDP蜜罐则进行远程桌面访问登录尝试，以此类推。也可以使用统一telnet方式，或nmap之类扫描器对探针端口进行扫描，验证访问，并查看触发对告警日志，确认服务正常。

d）溯源类蜜罐服务验证

对于web类伪装溯源蜜罐（比如自定义web类蜜罐），则直接浏览器访问对于探针的端口，进行页面访问，登录尝试，并确认谛听可正常监测到访问记录，且页面展示内容达到预期（比如与真实业务相似），则表示蜜罐服务配置完成（互联网蜜罐可看需要进行社交溯源验证）。