Technologie de déception pour réseaux de défense : honeypots et leurres

La plupart de la défense des réseaux est un problème de séparation du signal et du bruit. Les moteurs de signatures, l'analyse comportementale et le triage du SOC consacrent tous leurs efforts à décider si une action donnée sur un actif réel est malveillante ou bénigne. La technologie de déception inverse le problème. Au lieu de surveiller les actifs réels et de demander « est-ce mauvais ? », elle parsème le réseau d'actifs factices – honeypots, serveurs leurres, identifiants leurres et breadcrumbs – qu'aucun utilisateur légitime ni processus automatisé ne devrait jamais toucher. Comme ces leurres n'ont aucune finalité de production, toute interaction avec l'un d'eux est, par définition, anormale. Le résultat est une couche de détection au taux de faux positifs proche de zéro qui se déclenche précisément lorsqu'un adversaire est déjà à l'intérieur, en route vers quelque chose qui compte.

Pour les réseaux de défense, l'attrait est encore plus marqué. Le modèle de menace suppose des adversaires capables, patients et soutenus par des États qui finiront par obtenir un point d'appui. La question n'est pas de savoir s'ils entrent, mais à quelle vitesse ils sont détectés une fois qu'ils commencent le mouvement latéral. La déception transforme la propre reconnaissance et la moisson d'identifiants de l'attaquant en déclencheur qui les expose, et elle le fait sans dépendre de flux externes – ce qui la rend tout aussi viable à l'intérieur des enclaves isolées et classifiées.

La taxonomie : honeypots, honeynets et leurres

Le vocabulaire de la déception est souvent employé de façon imprécise, mais les distinctions importent au moment de concevoir un déploiement.

Honeypot. Un honeypot est un hôte ou service trompeur unique délibérément exposé pour être sondé, scanné ou compromis afin que son activité puisse être observée. Les honeypots sont classés selon la profondeur d'interaction. Un honeypot à faible interaction n'émule que la surface d'un service – il répond à une connexion sur le port 445 et présente une bannière SMB, mais n'implémente pas le protocole complet. Il est peu coûteux à exploiter et sûr, mais un adversaire compétent détecte rapidement l'émulation. Un honeypot à forte interaction exécute un véritable système d'exploitation et de vrais services dans un bac à sable instrumenté, de sorte que l'attaquant peut pleinement interagir avec lui ; cela fournit un renseignement riche sur l'outillage et le savoir-faire, mais exige un confinement rigoureux pour que le honeypot ne puisse pas servir de pivot vers le réseau réel.

Honeynet. Un honeynet est un réseau de honeypots interconnectés agencés pour simuler un environnement réaliste – un faux sous-réseau avec des postes de travail joints au domaine, des serveurs de fichiers et un service d'annuaire. Un attaquant qui atterrit dans le honeynet peut se déplacer latéralement entre les leurres, et chaque saut, réutilisation d'identifiant et commande est enregistré. La valeur du honeynet est comportementale : il capture l'arc complet d'une intrusion dans un espace contrôlé.

Leurre et breadcrumb. Un leurre est tout actif factice placé pour attirer ou détourner – un hôte, un fichier, un enregistrement de base de données ou un identifiant. Un breadcrumb (ou appât) est un leurre planté sur un système réel spécifiquement pour conduire un attaquant vers un honeypot : une connexion RDP enregistrée vers un serveur leurre, un identifiant mis en cache en mémoire, un lecteur mappé vers un partage leurre. Les breadcrumbs sont le tissu conjonctif d'un déploiement de déception ; sans eux, même un honeynet parfaitement construit n'est jamais découvert.

Pourquoi les leurres produisent des alertes haute fidélité

La propriété déterminante de la déception est la fidélité des alertes. Une règle de corrélation SIEM qui signale « une exécution PowerShell anormale » doit composer avec la réalité que les administrateurs exécutent légitimement du PowerShell inhabituel chaque jour ; la règle produit un flot d'alertes que les analystes doivent trier, et la fatigue d'alerte est le principal mode de défaillance opérationnelle d'un SOC moderne. Un identifiant leurre, en revanche, n'a qu'une seule signification lorsqu'il est utilisé : quelqu'un l'a moissonné depuis un endroit où il n'aurait jamais dû être utilisé, et l'a essayé. Il n'existe aucune explication bénigne.

C'est pourquoi les alertes de déception sont acheminées différemment. Plutôt que d'entrer dans une file de triage classée par score, un contact avec un leurre peut être traité comme un signal d'intrusion confirmée et câblé directement vers le confinement automatisé. Une tentative de connexion avec un identifiant leurre d'administrateur de domaine peut déclencher un playbook SOAR qui isole l'hôte d'origine, révoque les sessions et alerte l'intervenant d'astreinte – le tout avant qu'un humain n'ait lu une seule ligne de log. L'économie est favorable : un petit nombre de leurres génère un petit nombre d'événements, mais chaque événement porte une valeur informationnelle très élevée.

Placement : intercepter la kill chain

Les leurres ne sont utiles que là où ils interceptent les chemins qu'un adversaire emprunte réellement. Disperser des honeypots au hasard dans un réseau produit des leurres qui ne sont jamais touchés. Un placement efficace est dicté par la kill chain post-compromission, cartographiée par rapport aux tactiques de mouvement latéral et d'accès aux identifiants de MITRE ATT&CK.

Couche de mouvement latéral. Après avoir obtenu un point d'appui, un attaquant énumère l'hôte local à la recherche d'identifiants et de services accessibles. Les leurres ici incluent des identifiants mis en cache dans la mémoire LSASS, des entrées dans le Gestionnaire d'identifiants Windows, des partages SMB et NFS leurres annoncés dans la découverte réseau, et des chaînes de connexion de base de données leurres laissées dans des fichiers de configuration. Ce sont les placements au plus fort rendement car la moisson d'identifiants est une première étape quasi universelle.

Couche d'escalade de privilèges. À mesure que l'adversaire cherche des privilèges plus élevés, de faux comptes d'administrateur de domaine, des comptes de service leurres aux noms de principal de service alléchants et un leurre dans les groupes privilégiés de l'annuaire attirent l'activité de Kerberoasting et de ciblage de comptes. Une tentative de connexion contre l'un de ces comptes est un signal d'escalade sans ambiguïté.

Couche des joyaux de la couronne. Autour des véritables cibles de grande valeur – les systèmes que l'adversaire vise réellement – des serveurs de fichiers leurres, des enregistrements leurres à l'intérieur de bases de données de production et des documents leurres dotés de rappels intégrés forment un dernier fil-piège. L'objectif de conception à travers les trois couches est la densité de couverture : tout chemin réaliste de l'accès initial à l'objectif devrait avoir une forte probabilité de toucher au moins un leurre d'abord.

Authenticité : l'ingénierie qui fait fonctionner les leurres

Le facteur le plus déterminant du succès d'un déploiement de déception est de savoir si les leurres sont indiscernables de la production. Un adversaire compétent prend activement l'empreinte de l'environnement, et un leurre qui ressemble à un leurre est pire que pas de leurre du tout – il enseigne à l'attaquant exactement ce qu'il doit éviter et révèle qu'une déception est en usage.

L'authenticité est multidimensionnelle. Un hôte leurre doit correspondre à la convention de nommage de ses voisins (pas HONEYPOT-01 mais un nom d'hôte qui suit le schéma réel du site), présenter le même build d'OS et niveau de correctifs, exposer les mêmes ports de service avec des chaînes de bannière correspondantes, et montrer un trafic réseau et une présence ARP plausibles. Les identifiants leurres doivent suivre le format de nom d'utilisateur et la politique de mot de passe réels de l'organisation, et doivent apparaître dans les mêmes magasins que les vrais identifiants. Les fichiers leurres ont besoin de noms, tailles et horodatages réalistes et – c'est crucial – d'un contenu crédible mais non sensible ; pour les environnements classifiés, le contenu des leurres doit lui-même être non classifié ou synthétique afin que les leurres ne deviennent jamais un risque de fuite de données.

Maintenir cette authenticité dans le temps est une discipline opérationnelle, pas un déploiement ponctuel. À mesure que l'environnement réel est corrigé et renommé, les leurres qui se désynchronisent deviennent détectables par leur obsolescence. La couche de déception a donc besoin de la même gestion de configuration et automatisation du cycle de vie que le parc de production qu'elle imite.

De l'interaction au renseignement

Un honeypot ou honeynet à forte interaction fait plus qu'alerter – il capture le comportement de l'adversaire dans son intégralité. Chaque commande exécutée, chaque outil déposé, chaque identifiant réutilisé, et le timing précis de chaque action sont enregistrés dans un environnement où il n'y a aucune activité légitime à filtrer. Cela produit un enregistrement de renseignement propre qui alimente directement le profilage et l'attribution d'acteurs de menace.

La valeur de renseignement se cumule. Les TTP observés dans le honeynet – une technique de mouvement latéral spécifique, un framework C2 particulier, un rythme opérationnel distinctif – deviennent une logique de détection appliquée à travers le réseau réel. Un adversaire qui engage un leurre donne en réalité une empreinte comportementale qui améliore la détection partout ailleurs. Pour les organisations de défense partageant du renseignement avec des CERT alliés, les TTP issus de la déception sont particulièrement précieux car ils sont observés directement plutôt qu'inférés à partir de vestiges d'incident.

Il existe aussi une dimension psychologique facile à sous-estimer. Un adversaire qui apprend qu'une cible déploie de la déception doit traiter chaque identifiant, chaque partage et chaque hôte accessible comme potentiellement factice. Cette incertitude taxe l'opération : elle ralentit le mouvement, force une vérification supplémentaire avant chaque étape et augmente le coût des erreurs, car un seul faux pas sur un leurre brûle le point d'appui. En effet, une couche de déception bien gérée ne se contente pas de détecter – elle dégrade le tempo et la confiance de l'intrusion elle-même, ce qui pour un réseau de défense offre aux intervenants la ressource qui compte le plus pendant une compromission active, le temps.

Confinement et le risque de pivot

La déception à forte interaction comporte un danger inhérent : un hôte réel, pleinement fonctionnel, est remis à un adversaire. Si le honeynet n'est pas rigoureusement isolé, l'attaquant peut l'utiliser comme pivot vers le réseau de production – transformant un outil défensif en plateforme d'attaque. Le confinement est donc non négociable. Le honeynet doit se trouver derrière une diode de données contrôlée ou une passerelle étroitement filtrée qui autorise les interactions entrantes nécessaires pour soutenir la déception tout en bloquant tout chemin sortant vers les actifs réels. La sortie du honeynet vers Internet, si elle est autorisée, doit être médiée par un proxy surveillé afin que tout rappel soit observé plutôt que de permettre l'exfiltration de données leurres vers l'infrastructure de l'attaquant.

Exploiter un programme de déception dans la durée

Le déploiement est le début, pas la fin. Un adversaire qui cartographie l'environnement de déception lors d'une campagne devrait le retrouver substantiellement modifié lors de la suivante. Cela signifie faire tourner les identifiants leurres selon un calendrier, rafraîchir le contenu des honeypots, déplacer les breadcrumbs et ré-établir périodiquement la ligne de base d'authenticité par rapport au parc de production en évolution. La déception statique se dégrade : ses emplacements fuitent à travers le partage de connaissances entre acteurs de menace et à travers les propres notes de l'attaquant.

Mesurer le programme est tout aussi important. La métrique principale est la réduction du temps de présence de l'attaquant, mais des métriques de soutien comptent pour le réglage : la couverture par les leurres des chemins de kill chain cartographiés, le temps entre l'interaction avec un leurre et l'action de confinement, et le ratio de vrais contacts avec des leurres par rapport au rare faux positif provenant de scanners ou d'agents de sauvegarde mal configurés. Ces faux positifs sont éliminés en mettant sur liste d'autorisation les sources de scan connues et en plaçant les leurres là où l'outillage automatisé sans distinction n'atteint pas – à l'intérieur des magasins d'identifiants plutôt que sur des partages largement énumérés, par exemple.

Bien menée, une couche de déception devient l'un des investissements de détection les plus rentables qu'un réseau de défense puisse faire : un nombre modeste de leurres soigneusement placés et construits avec authenticité qui convertissent la reconnaissance inévitable d'un adversaire en alarme d'intrusion confirmée, et qui transforment chaque engagement en renseignement qui durcit le reste du réseau.