Technologies de déception

La technologie de la déception déploie de faux actifs, identifiants et données sur un réseau afin d’attirer les attaquants et de les amener à se dévoiler. Toute interaction avec un leurre est, par définition, suspecte, car les utilisateurs légitimes n’ont aucune raison d’y toucher.

Les défenses traditionnelles tentent de maintenir les attaquants à l’extérieur. La déception part du principe que certains entreront et retourne l’environnement contre eux :

• Les leurres font perdre du temps et des efforts à l’attaquant.
• Chaque interaction déclenche une alerte très fiable.
• Les défenseurs découvrent les techniques des attaquants.

Un pot de miel est un système leurre unique conçu pour être sondé ou attaqué. Il n’a aucune fonction de production, de sorte que toute connexion signale une reconnaissance ou une compromission.

Un réseau de pots de miel est un réseau composé de plusieurs pots de miel qui reproduit un environnement réaliste, avec des serveurs, des services et du trafic. Il étudie les déplacements de l’attaquant entre les systèmes, et pas seulement une interaction unique.

Un jeton leurre est une fausse donnée, et non un système : un identifiant factice, un enregistrement de base de données leurre ou une clé d’accès à une interface de programmation faisant l’objet d’un suivi. S’il est utilisé un jour, vous savez qu’une personne a accédé à des données auxquelles elle ne devait pas avoir accès.

Les jetons canaris sont des déclencheurs intégrés : un document spécial, une URL ou un nom DNS qui signale son ouverture à un système central. Placez-les dans des dossiers sensibles ; un attaquant qui parcourt le partage déclenche l’alarme.

La plupart des outils de sécurité noient les équipes sous les alertes et les faux positifs. La déception inverse cette situation : il n’y a presque aucune raison légitime d’interagir avec un leurre, si bien que ses alertes sont très fiables et méritent une enquête.

Après avoir établi un point d’appui initial, les attaquants se déplacent latéralement pour trouver des cibles de valeur. Des leurres placés le long des chemins probables (faux partages d’administration, noms d’hôte alléchants) détectent rapidement ces déplacements, souvent avant que les véritables actifs ne soient atteints.

Les leurres doivent être clairement séparés des systèmes réels afin de ne jamais perturber l’activité, tout en étant suffisamment réalistes pour tromper les attaquants. Une bonne déception se fond dans l’environnement par ses noms et son emplacement, tout en restant entièrement isolée et surveillée.

La déception soulève plusieurs questions :

• La provocation policière ne constitue généralement pas un problème puisque vous défendez votre propre réseau, mais le fait d’attirer les attaquants se situe dans une zone grise selon certaines juridictions.
• N’utilisez jamais de leurres pour riposter.
• Documentez le programme et impliquez le service juridique.

La déception est une couche de détection et de renseignement, et non un remplacement de la prévention. Combinez-la avec des pare-feu, EDR et des outils de surveillance. Sa force est de détecter les attaquants qui ont déjà contourné d’autres mesures de contrôle.

Identifiez le concept de déception approprié.

La technologie de la déception retourne le réseau contre les attaquants :

• Les pots de miel sont des systèmes leurres ; les réseaux de pots de miel sont des réseaux leurres.
• Les jetons leurres et les jetons canaris sont de fausses données qui alertent lorsqu’on y accède.
• Les interactions avec les leurres produisent des alertes très fiables.
• Utilisez la déception comme couche de détection en complément de la prévention.