Différences

Ci-dessous, les différences entre deux révisions de la page.

--- oumar [2025/12/01 08:59] – [Les Honeypots de Nouvelle Génération] 2a01:cb06:b852:d781:cd7d:6e81:f755:3379
+++ oumar [2025/12/01 09:05] (Version actuelle) – 2a01:cb06:b852:d781:cd7d:6e81:f755:3379
@@ Ligne 46: / Ligne 46: @@
 Les honeypots ne sont plus de simples outils expérimentaux. Ils occupent désormais une place essentielle dans les Security Operations Centers. Avec l’intégration de l’IA, ils deviennent capables de s’adapter automatiquement pour piéger les attaquants plus longtemps et collecter des informations de plus en plus précises sur leurs techniques.
-===== Introduction =====
-La cybersécurité fait face à un défi majeur : la majorité des attaques ne sont plus réalisées par des humains, mais par des robots et des outils automatiques.
-Les protections classiques comme les firewalls ou IDS montrent leurs limites : elles filtrent, mais n’apprennent rien.
-Les honeypots modernes deviennent de véritables **sondes de sécurité actives**.
-**Objectif :** transformer une tentative d’intrusion en renseignement utile.
-----
-===== 1. Architecture Technique : Apport des conteneurs =====
-Les anciens honeypots utilisaient des machines dédiées ou virtualisées.
-Aujourd’hui, Docker est privilégié pour :
-  * une meilleure isolation
-  * une modularité accrue
-==== Architecture étudiée ====
-  * **Hôte :** serveur Linux sécurisé (non exposé)
-  * **Services (leurres) :**
-    * Cowrie : simulation SSH/Telnet
-    * Dionaea : capture SMB, HTTP, FTP, MSSQL
-  * **Isolation :** les attaques ne touchent que le conteneur, l’hôte reste intact
-----
-===== 2. Le Défi de la Data : transformer les logs =====
-Un honeypot peut recevoir **2 000 à 50 000 requêtes par jour**.
-Analyse manuelle impossible → besoin d’un pipeline ETL.
-==== 2.1 Extraction (JSON) ====
-Cowrie produit des logs structurés (IP, ports, commandes, fichiers…).
-==== 2.2 Enrichissement (Logstash) ====
-Ajout automatique :
-  * géolocalisation (GeoIP)
-  * menace connue (threat lists)
-==== 2.3 Visualisation (ELK) ====
-Permet d’analyser :
-  * pays les plus agressifs
-  * failles les plus scannées
-  * commandes utilisées
-----
-===== 3. Analyse des Payloads =====
-Les fichiers malveillants téléchargés via **wget** ou **curl** sont :
-  * capturés
-  * placés en quarantaine
-  * analysés dans une sandbox
-Cela permet d’identifier **le type et le comportement du malware**.
-----
-===== 4. Cadre Juridique et Limites =====
-Installer un honeypot implique des obligations légales :
-  * une adresse IP est une **%%donnée personnelle%%**
-  * le hack-back est **%%interdit en France%%**
-Le honeypot doit rester strictement défensif.
-----
-===== 5. Les Smart Honeypots (IA) =====
-Les attaquants utilisent des outils capables de détecter les leurres.
-Les honeypots statiques deviennent insuffisants.
-Les **Smart Honeypots** utilisent l’IA pour :
-  * analyser le comportement en temps réel
-  * adapter les réponses
-  * varier la latence
-  * générer de faux fichiers crédibles
-Objectif : leurrer humains et IA.
-----
-===== Conclusion =====
-Les honeypots sont devenus essentiels dans les SOC.
-L’avenir repose sur des honeypots intelligents capables d’adapter automatiquement leur comportement grâce à l’IA.