为什么盯住 VPN 接入
远程接入是几乎每个组织都要开着的边界，也是黑盒最深的一处：流量加密、客户端行为不透明，攻击者在这里试了什么、试到哪一步，往往只能事后从零散日志里拼凑。
PoolScope 的想法是把这块黑盒搬进可控环境——模拟一套真实的 VPN 服务，把异常连接引导进来，并在服务端做受控扩展，完整记录认证与协议交互过程。项目由筠政基金支持，2026–2027 进行。
系统构成
- 蜜罐服务：模拟真实 VPN 接入，保持足够的协议一致性，让扫描、爆破这类行为自然发生，而不是被指纹识别挡在门外。
- 认证分流：依据认证行为区分正常探测与攻击尝试，把可疑会话导入受控通道。
- 采集模块：记录连接行为、认证尝试与协议交互特征，日志与原始流量并行留存，便于后续交叉验证。
加密带来的真正难点
标准 VPN 隧道里几乎看不到应用层行为，这决定了如果只在网络侧抓包，能拿到的东西非常有限。
所以我把观测点放在服务端：在受控环境下对会话做可控扩展，使流量能够被还原，从而拿到解密后的行为数据。这一步是后面所有分析的前提——没有它，特征工程只能围绕连接元数据打转。
从行为到数据集
采集本身不是目的，数据要能支撑建模。我对攻击数据做特征工程，把连接频率、时间序列、访问路径等维度组织成攻击行为向量，再聚合成 VPN 场景下的攻击行为数据集与特征库。
有了可复现的行为样本，才谈得上验证某个检测规则是否真的能区分正常接入、扫描探测与暴力破解；否则规则只是对单次事件的描述。