网络欺骗防御的效果到底怎么衡量？部署了蜜罐、蜜饵之后，安全团队往往只能给出捕获扫描次数这类浅层指标，无法支撑策略是否该保留或调整的判断。更关键的是，电力行业作为关键基础设施，其调度数据网对可用性要求极高，任何安全评估都不能影响生产运行。因此需要一套可计算、可比较的评估指标体系，把欺骗策略的实际牵引效果量化出来。
一、欺骗防御评估指标体系的设计思路
网络欺骗防御的核心不是单纯增加蜜罐数量，而是通过诱饵、诱饵服务和假数据改变攻击者的认知与行为。评估这套体系是否有效，需要从攻击者进入欺骗环境后的完整行为链出发，而不是只看告警总数。行为链包括发现诱饵、进入交互、执行操作、暴露意图、触发检测等环节，每个环节都有对应的可观测指标。
因此，指标体系可以拆成五个维度：诱饵覆盖率衡量欺骗资源在关键网段中的部署密度；交互深度反映攻击者在蜜罐中的操作层级，例如是否尝试提权、横向移动；检测响应时长记录从首次触碰到安全人员确认告警的时间差；告警可信度通过误报率来评估；策略牵引效率则观察真实攻击流量被引导到蜜罐的比例。这些维度相互补充，避免单点指标造成误判。
指标设计还要考虑可计算性。电力行业的日志来源复杂，包括调度数据网流量、主机审计、防火墙记录等，并不是所有指标都能直接拿到数据。因此需要提前定义数据采集字段和聚合粒度，例如按天统计平均交互深度、按周统计误报率。R语言在数据整理和指标计算上的优势非常适合这种多源日志分析。
二、R语言实现指标计算与权重赋值
在R中处理评估数据，通常使用tidyverse包完成数据清洗和变换。首先读取蜜罐日志，计算每个维度的原始值。下面给出一个示例数据框和指标计算流程，假设日志中已经包含会话ID、交互命令数、会话时长、是否误报等字段。
library(tidyverse)
logs <- read_csv("honeypot_logs.csv")
indicators <- logs %>%
summarise(
interaction_depth = mean(command_count, na.rm = TRUE),
session_duration = mean(session_minutes, na.rm = TRUE),
false_positive_rate = mean(is_false_positive, na.rm = TRUE),
response_time = mean(alert_confirm_minutes, na.rm = TRUE)
)
print(indicators)
上面的代码中，command_count代表每个会话中攻击者执行的命令数量，session_minutes是会话持续分钟数，is_false_positive是布尔值转成数值后的误报标记。实际环境中这些字段需要结合日志解析得到。计算出的原始值量纲差异很大，直接加权没有意义，需要做归一化处理。对于交互深度、会话时长这类正向指标，值越大越好；误报率和响应时长则是负向指标，需要反向归一化。
权重赋值可以采用层次分析法（AHP）。先构建判断矩阵，再计算特征向量得到各指标权重。R中可以用eigen函数求解矩阵最大特征值对应的特征向量。下面是一个简化实现：
# 判断矩阵：覆盖度、交互深度、响应时长、可信度
judge_matrix <- matrix(c(
1, 1/2, 2, 1,
2, 1, 3, 2,
1/2, 1/3, 1, 1/2,
1, 1/2, 2, 1
), nrow = 4, byrow = TRUE)
eig_result <- eigen(judge_matrix)
weights <- Re(eig_result$vectors[,1])
weights <- weights / sum(weights)
names(weights) <- c("interaction_depth", "session_duration", "false_positive_rate", "response_time")
print(weights)
需要注意的是，判断矩阵需要满足一致性检验，否则权重结果不可靠。这里演示的是基础流程，实际项目可以结合专家打分和一致性比率检验。得到权重后再将归一化后的指标值加权求和，即可得到综合评分。
三、电力行业欺骗评估案例：从日志到决策
电力调度网络对可用性要求极高，蜜罐部署通常放在调度数据网的边界区域，与生产控制大区严格隔离。某省级电力公司在三个边界节点部署了模拟IEC 61850通信服务的蜜罐，并同步采集防火墙和主机审计日志。评估目标是判断这些蜜罐是否成功吸引并延迟了针对调度系统的扫描和渗透尝试。
日志清洗阶段，R脚本读取安全设备导出的CSV文件，过滤掉内部运维产生的正常连接，只保留来自外部源地址且命中蜜罐端口的会话。然后按天聚合，计算以下指标：诱饵覆盖率通过蜜罐IP数量与边界节点总数的比值得到；交互深度取每天所有会话中命令执行数的平均值；检测响应时长从蜜罐首次告警到安全平台确认的平均分钟数；告警可信度用误报会话数除以总会话数得到。完整的计算脚本如下：
library(dplyr)
library(lubridate)
library(scales)
honeypot_logs <- read_csv("power_grid_honeypot.csv")
daily_metrics <- honeypot_logs %>%
filter(source_type == "external") %>%
mutate(date = as_date(timestamp)) %>%
group_by(date) %>%
summarise(
bait_coverage = n_distinct(honeypot_ip) / 3,
interaction_depth = mean(commands_executed, na.rm = TRUE),
response_time = mean(alert_confirm_minutes, na.rm = TRUE),
false_positive_rate = sum(is_false_positive) / n()
) %>%
ungroup()
# 归一化
normalize <- function(x, positive = TRUE) {
if (positive) {
return((x - min(x)) / (max(x) - min(x)))
} else {
return((max(x) - x) / (max(x) - min(x)))
}
}
daily_metrics <- daily_metrics %>%
mutate(
bait_score = normalize(bait_coverage, TRUE),
interaction_score = normalize(interaction_depth, TRUE),
response_score = normalize(response_time, FALSE),
fp_score = normalize(false_positive_rate, FALSE)
)
# 加权综合评分
weights <- c(bait = 0.25, interaction = 0.30, response = 0.20, fp = 0.25)
daily_metrics <- daily_metrics %>%
rowwise() %>%
mutate(composite_score = bait_score * weights["bait"] +
interaction_score * weights["interaction"] +
response_score * weights["response"] +
fp_score * weights["fp"]) %>%
ungroup()
print(head(daily_metrics))
这段代码中，bait_coverage直接除以3是因为该案例部署了三个蜜罐节点，如果蜜罐数量变化，分母也应调整。归一化函数对正向和负向指标做了区分，确保评分方向正确。综合评分落在0到1之间，越接近1说明欺骗策略整体效果越好。
为了直观展示各维度表现，可以使用fmsb包绘制雷达图。雷达图能快速暴露短板，例如交互深度得分偏低但覆盖率得分很高，说明蜜罐虽然部署到位，但对攻击者的吸引力不足。绘制代码如下：
library(fmsb)
radar_data <- as.data.frame(rbind(
rep(1, 4),
rep(0, 4),
daily_metrics[nrow(daily_metrics), c("bait_score", "interaction_score", "response_score", "fp_score")]
))
colnames(radar_data) <- c("诱饵覆盖率", "交互深度", "响应时长", "告警可信度")
radarchart(radar_data,
axistype = 1,
pcol = "#1f77b4",
pfcol = scales::alpha("#1f77b4", 0.3),
plwd = 2,
cglcol = "grey",
cglty = 1,
axislabcol = "grey",
vlcex = 0.9)
通过一段时间的连续评估，发现最初两周的综合评分在0.55左右波动，主要拖累项是交互深度和误报率。分析日志后确认，部分蜜罐服务只开放了默认端口但缺乏协议交互脚本，攻击者扫描到端口后很快离开，导致平均命令执行数偏低。误报则多来自内部安全扫描器，需要将扫描器IP加入白名单。
四、评估结果解读与策略优化
综合评分本身不是终点，关键是将评分变化与策略调整关联起来。案例中，团队根据雷达图反馈做了两项优化：一是为蜜罐增加模拟IEC 61850的协议响应能力，使攻击者执行更多读取和写操作；二是把内部扫描器流量从评估数据中剔除，误报率从18%降到5%以下。调整后的下一个评估周期，交互深度得分提升约40%，综合评分从0.55上升到0.72。
指标体系也需要持续校准。电力行业不同区域面临的威胁差异明显，调度数据网和配电自动化网段的蜜罐策略不能共用同一套权重。例如调度侧更关注响应时长和告警可信度，而配电侧可能更关注诱饵覆盖率。可以每季度组织专家重新打分，更新判断矩阵，用R脚本自动计算新权重并回测历史数据。
最后需要强调，指标评估不能替代人工分析。R语言解决的是可计算的部分，但攻击者行为中存在大量非结构化信息，例如命令内容的语义、工具指纹等。将自动化指标与专家研判结合，才能形成完整的欺骗防御评估闭环。电力行业在部署欺骗防御时，还应遵守国家及行业相关安全规范，确保蜜罐隔离措施到位，避免成为新的攻击入口。