---

name: deploying-ransomware-canary-files description: > 使用 Python watchdog 库在关键目录中部署并监控勒索软件诱饵文件（Canary File），实现实时文件系统事件检测。 将策略性命名的诱饵文件（模拟高价值目标，如财务记录、凭据、数据库导出）放置在勒索软件通常优先枚举的 目录中，监控对诱饵文件的任何读取、修改、重命名或删除操作，并在检测到交互时通过 Email、Slack Webhook 或 Syslog 触发即时告警，在完整加密开始前提供早期预警。 domain: cybersecurity subdomain: ransomware-defense tags: [ransomware, canary-files, watchdog, detection, early-warning, deception, defense] version: 1.0.0 author: mahipal license: Apache-2.0

部署勒索软件诱饵文件

适用场景

• 在文件服务器、NAS 设备或终端系统上部署主动勒索软件检测
• 构建早期预警系统，在勒索软件加密关键业务数据前完成检测
• 在无法部署 EDR Agent 的系统上，使用轻量级诱饵文件监控补充 EDR 解决方案
• 通过模拟诱饵文件触发来测试勒索软件应急响应流程
• 监控共享驱动器、Home 目录和备份卷中的未授权文件操作

不适用场景：不可替代终端保护、备份策略或网络分段。诱饵文件仅为检测层，并非预防机制。

前置条件

• Python 3.8+ 及 pip
• watchdog 库（pip install watchdog）
• 对诱饵文件部署目录的写入权限
• 用于告警的 SMTP 服务器凭据或 Slack Webhook URL
• 在系统目录中放置诱饵文件所需的管理员权限

工作流程

步骤 1：生成诱饵文件

创建具有真实文件名和内容的诱饵文件，以吸引勒索软件扫描器。文件名应使用 Passwords.xlsx、Financial_Report_2026.docx、backup_credentials.csv 等格式，内容为看似合理的虚假数据。将文件放置在勒索软件通常优先攻击的目录中：用户桌面、Documents 文件夹、网络共享根目录和备份路径。

步骤 2：部署文件系统监控

使用 Python watchdog 库结合自定义 FileSystemEventHandler，监控诱饵文件路径。Handler 针对诱饵文件触发 on_modified、on_deleted、on_moved 和 on_created 事件。任何合法用户或进程都不应接触这些文件，因此任何交互都是勒索软件或未授权访问的高可信度指示器。

步骤 3：配置告警管道

将文件系统监控器连接到多个告警渠道：通过 SMTP 发送邮件、发送 Slack Webhook POST、转发 Syslog 到 SIEM，以及写入本地日志文件。告警有效载荷中应包含触发事件类型、文件路径、时间戳和进程信息（如可获取）。

步骤 4：验证与测试

通过程序化方式修改、重命名和删除诱饵文件，模拟勒索软件行为，验证检测管道是否正常触发。测量告警响应时间，并验证所有配置渠道的告警投递情况。

核心概念

术语	定义
诱饵文件（Canary File）	放置在受监控目录中的诱骗文件，当被访问、修改或删除时触发告警
Watchdog	Python 文件系统监控库，使用操作系统原生 API（Linux 的 inotify、macOS 的 FSEvents、Windows 的 ReadDirectoryChangesW）
蜜罐文件（Honey File）	诱饵文件的别名；用于吸引和检测恶意活动的虚假文档
熵值检测（Entropy Check）	通过测量文件内容的随机性来检测加密行为（勒索软件加密后产生高熵值输出）

工具与系统

• watchdog：Python 文件系统监控库，使用操作系统原生事件 API
• smtplib：Python 标准库，用于 SMTP 邮件告警
• requests：HTTP 库，用于 Slack Webhook 集成
• hashlib：SHA-256 哈希，用于诱饵文件完整性验证
• psutil：检测诱饵文件访问时的进程信息采集

输出格式

RANSOMWARE CANARY ALERT
========================
Timestamp: 2026-03-11T14:23:07Z
Event: FILE_MODIFIED
Canary File: /srv/shares/finance/Passwords.xlsx
Directory: /srv/shares/finance
SHA-256 Before: a3f2...8b4c
SHA-256 After: 7e91...2d3f
Alert Channels: [email, slack, syslog]
Action: Investigate immediately - potential ransomware activity