入侵者侵入蜜罐服务器后系统能够根据其指令进行正确的显示，迷惑并诱使入侵者继续入侵行为。根据捕获的数据包和记录的日志数据获得入侵者的行动记录，通过这些记录来分析入侵者所使用的工具、策略以及攻击目的。
（７）远程日志模块
将蜜罐、ＩＤＳ、防火墙、异常检测等模块产生的日志信息传输到日志服务器上。对于ＩＤＳ、防火墙产生的日志信息，可以利用ＭｙＳＱＬ进行远程日志记录，对于ｈｏｎｅｙｄ产生的日志由于存储在本地计算机上，因此要进行ｈｏｎｅｙｄ的日志远程转储，要保证日志信息在网络传输中的安全性。
４ 蜜罐服务器的部署
理论上来看，蜜罐服务器部署得越多，应用服务器被扫描与攻击的风险则越小，但同时系统成本将大幅度提高，管理难度也加大。因此可以根据网络规模和访问量的大小来部署蜜罐服务器：若网络规模和访问量较大，可以直接部署多个蜜罐服务器；若网络规模和访问量较小，可以通过虚拟系统来完成蜜罐服务器的部［３］署。
例如采用虚拟机系统，则首先在ＷｉｎｄｏｗｓＳｅｒｖｅｒ２００３平台上安装当前较流行的ＶＭｗａｒｅ虚拟机系统，其中虚拟机上可以设置两个虚拟网卡，分别连接系统工作网、虚拟服务器网，然后根据需要虚拟多个服务器并安装相应的操作系统及应用软件。具体步骤如下：
１）安装虚拟机软件。
２）构建虚拟网络系统，可以是Ｗｉｎｄｏｗｓ或Ｌｉｎｕｘ。为保证虚拟系统的性能，应尽量为其分配较高的内存和硬盘空间。
３）在虚拟系统上安装蜜罐软件，根据系统的不同可以是ＴｒａｐＳｅｒｖｅｒ或Ｈｏｎｅｙｗａｌｌ，然后配置ＩＰ信息、管理信息等。
４）重复３）安装虚拟服务器组，并配置相应的应用系统。
５）在虚拟服务器组上安装并配置数据捕获软件ｓｎｉｆｆｅｒ或ｓｅｂｅｋ。
５ 系统测试
１）对蜜罐服务器的版本探测ＬｉｓｔｅｎｉｎｇｆｏｒＨＴＴＰｃｏｎｎｅｃｔｉｏｎｓｏｎ０．０．０．０：８０．ＵｓｅｒｌｏｇｇｅｄｉｎＣｏｍｍａｎｄＧＥＴ／ｒｅｃｅｉｂｅｄｆｏｒｍ２００．１６９．５．１００：２０２５ＳｅｒｖｉｎｇｆｉｌｅＣ：＼Ｈｐ＼Ｗｅｂ＼ｉｉｓ＼ｉｎｄｅｘ．ｈｔｍ（４６２８ｂｙｔｅｓ／４６２８ｂｙｔｅｓｓｅｎｔｔｏ１９２．１６８．１．６：１９４３）Ｕｓｅｒｌｏｇｇｅｄｏｕｔ入侵者用Ｔｅｌｎｅｔ连接蜜罐服务器，并进行了版本探测。输入ｇｅｔｉｎｄｅｘ．ｈｔｍ，即可看到系统版本。
２）入侵自动报警
使用脚本语言建立报警机制Ｗｓｈ．ｒｕｎ＼＼＼＼＼＼”ｎｅｔｕｓｅｒｊｇｙａ１１ａａ／ａｄｄ＼＼＼＼＼＼”，０Ｗｓｈ．ｒｕｎ＼＼＼＼＼＼“ｎｅｔｓｅｎｄ１９２．１６５．８５．２１１Ｉｎｔｒｕｓｉｏｎ＼＼＼＼＼＼”，０［ＥｘｔｓｈｅｌｌｆｏｌｄｅｒＶｉｅｗｓ］Ｄｅｆａｕｌｔ＝｛５９８４ＦＦＥ０－２８Ｄ４－１１ＣＦ－ＡＥ６６－０８００２Ｂ２Ｅ１２６２｝｛５９８４ＦＦＥ０－２８Ｄ４－１１ＣＦ－ＡＥ６６－０８００２Ｂ２Ｅ１２６２｝＝｛５９８４ＦＦＥ０－２８Ｄ４－１１ＣＦ－ＡＥ６６－０８００２Ｂ２Ｅ１２６２｝／／Ｆｏｌｄｅｒ．ｈｔｔｐｅｒｓｉｓｔＭｏｎｉｋｅｒ＝ｆｉｌｅ：［．ｓｈｅｌｌＣｌａｓｓＩｎｆｏ］ＣｏｎｆｉｒｍＦｌｉｌｅＯｐ＝０当有入侵者访问蜜罐时系统立刻就会自动生成一个用户名为ｊｇｙａ，密码是１１ａａ，并发送“Ｉｎｔｒｕｓｉｏｎ”的信息。