Analyse du comportement des attaquants

Le véritable bénéfice de la cyberdéception réside dans les renseignements recueillis. En observant la manière dont les attaquants interagissent avec les leurres, les défenseurs découvrent leurs tactiques, techniques et procédures et transforment ces connaissances en défenses plus solides.

Les journaux des leurres révèlent de nombreux détails :

• Adresses IP sources et infrastructure.
• Identifiants et commandes tentés.
• Outils et exploits utilisés.
• Moment et ordre des actions.

Le cadre MITRE ATT&CK répertorie les tactiques et techniques des adversaires. Associer l’activité observée sur les leurres à ATT&CK transforme les journaux bruts en un profil structuré de l’attaquant et révèle quelles défenses renforcer.

Le comportement donne des indications sur les objectifs :

• Un balayage généralisé suggère des attaques opportunistes et automatisées.
• L’énumération ciblée d’actifs spécifiques suggère un adversaire déterminé.
• La recherche de données suggère des visées d’exfiltration.

Certains indices permettent de distinguer les robots des personnes :

• Robots : séquences de commandes instantanées, uniformes et prévisibles.
• Personnes : pauses, fautes de frappe, comportement exploratoire et adaptatif.

Savoir à qui vous êtes confronté oriente la réponse.

Les leurres à forte interaction capturent souvent les logiciels malveillants déposés par l’attaquant. L’analyse de ces échantillons (dans un bac à sable) révèle les charges utiles, les serveurs de commande et de contrôle ainsi que les méthodes de persistance à bloquer ailleurs.

Extrayez les indicateurs de compromission de l’activité observée :

• Adresses IP et domaines malveillants.
• Empreintes de fichiers.
• Signatures d’outils et modèles de commandes.

Intégrez ces indicateurs de compromission aux pare-feu, à l’EDR et au SIEM afin de bloquer le même acteur sur les systèmes réels.

Ce que vous apprenez peut aider les autres. Le partage d’indicateurs de compromission et de tactiques, techniques et procédures anonymisés par l’intermédiaire de communautés de confiance et de plateformes de renseignement sur les menaces renforce la défense collective contre les mêmes adversaires.

Refermez la boucle. Utilisez les résultats des leurres pour :

• Appliquer des correctifs aux vulnérabilités exploitées en production.
• Affiner les règles de détection autour des techniques observées.
• Ajouter les indicateurs de compromission de l’attaquant aux listes de blocage.

Interprétez les résultats avec prudence :

• Les adresses IP sources sont souvent celles de serveurs mandataires ou de réseaux privés virtuels, et non celles de l’origine réelle.
• Les attaquants peuvent placer des indices trompeurs.
• Un seul leurre offre une vision limitée ; mettez les données en corrélation avec d’autres sources.

Les renseignements n’ont de valeur que s’ils sont exploités. Établissez une routine : recueillez les données des leurres, analysez-les et cartographiez-les, extrayez les indicateurs de compromission et mettez à jour les défenses, afin que chaque attaque contre un piège rende l’environnement réel plus difficile à compromettre.

Reliez l’analyse à la défense.

L’analyse du comportement des attaquants transforme les pièges en renseignements :

• Les leurres capturent des adresses IP, des identifiants, des commandes, des outils et des logiciels malveillants.
• Cartographiez l’activité avec MITRE ATT&CK et déduisez l’intention.
• Extrayez les indicateurs de compromission et partagez les renseignements sur les menaces.
• Refermez la boucle en renforçant les défenses réelles à partir de ce que vous avez appris.