Types de pots de miel

Les pots de miel se classent principalement selon deux critères : le niveau d’interaction (ce que l’attaquant peut faire) et la finalité (recherche ou production). Le choix du type approprié permet d’équilibrer la quantité d’informations obtenues, les risques et les efforts nécessaires.

Un pot de miel à faible interaction n’émule que quelques services et offre des réponses limitées. Il est peu coûteux, sûr et facile à déployer, mais un attaquant expérimenté peut détecter rapidement l’émulation.

• Utile pour détecter les analyses automatisées et les vers.
• Risque de compromission minimal.

Un pot de miel à forte interaction est un système réel ou entièrement simulé avec lequel l’attaquant peut interagir en profondeur. Il fournit des informations détaillées sur les outils et les techniques, mais présente des risques et des coûts de maintenance plus élevés.

• Capture les chaînes d’attaque complètes.
• Doit être strictement isolé afin d’éviter de devenir un tremplin.

Certains leurres se situent entre les deux : ils émulent un comportement plus riche que les systèmes à faible interaction sans exposer un OS complet. Ils visent un meilleur réalisme tout en limitant le rayon d’impact si un attaquant insiste.

Selon l’objectif :

• Les leurres de production sont placés dans l’environnement réel pour détecter et ralentir les véritables attaques.
• Les leurres de recherche sont déployés pour étudier les menaces et recueillir des informations, souvent par des chercheurs en sécurité.

Les leurres courants à faible interaction émulent des services spécifiques.

• Un émulateur SSH/telnet journalise les tentatives de connexion et les commandes.
• Un faux serveur web enregistre les tentatives d’exploitation.

Un leurre à forte interaction peut être une VM complète dotée d’un véritable OS et d’applications, abondamment instrumentée et isolée du réseau, afin que les défenseurs puissent observer un attaquant agir comme s’il se trouvait sur une véritable cible.

Le niveau d’interaction correspond directement au risque :

• Faible : peu à apprendre, peu à perdre.
• Élevé : des données riches, mais un système réel qui pourrait être détourné si le confinement échoue.

Adaptez le type à vos compétences et à votre tolérance au risque.

Les attaquants recherchent les leurres (en vérifiant le temps de réponse, les fichiers manquants et les réponses irréalistes). Les leurres à faible interaction sont plus faciles à identifier ; ceux à forte interaction sont plus difficiles à repérer, mais plus difficiles à maintenir de manière crédible.

Plus l’interaction est élevée, plus le confinement doit être solide :

• Segmentation du réseau, à l’écart de la production.
• Contrôle du trafic sortant afin que le leurre ne puisse pas attaquer d’autres systèmes.
• Surveillance continue et instantanés pour l’analyse.

Choisissez-le en fonction de vos objectifs :

• Vous avez besoin d’une détection étendue et peu coûteuse ? Des leurres de production à faible interaction.
• Vous avez besoin de renseignements détaillés sur les menaces et disposez des ressources nécessaires ? Des leurres de recherche à forte interaction.
• Souvent, une combinaison des deux offre à la fois une bonne couverture et une grande profondeur.

Associez le niveau d’interaction au résultat.

Les leurres varient selon leur niveau d’interaction et leur objectif :

• Faible interaction : sûrs, peu coûteux, mais offrant une visibilité limitée.
• Forte interaction : données riches, mais risques et maintenance plus importants.
• Les leurres de production détectent ; les leurres de recherche étudient.
• Adaptez le type à vos objectifs, à vos compétences et à vos capacités de confinement.