Différences

Ci-dessous, les différences entre deux révisions de la page.

--- oumar [2025/12/01 09:00] – 2a01:cb06:b852:d781:cd7d:6e81:f755:3379
+++ oumar [2025/12/01 09:05] (Version actuelle) – 2a01:cb06:b852:d781:cd7d:6e81:f755:3379
@@ Ligne 48: / Ligne 48: @@
-===== 1. Architecture Technique : Apport des conteneurs =====
-Les anciens honeypots utilisaient des machines dédiées ou virtualisées.
-Aujourd’hui, Docker est privilégié pour :
-  * une meilleure isolation
-  * une modularité accrue
-==== Architecture étudiée ====
-  * **Hôte :** serveur Linux sécurisé (non exposé)
-  * **Services (leurres) :**
-    * Cowrie : simulation SSH/Telnet
-    * Dionaea : capture SMB, HTTP, FTP, MSSQL
-  * **Isolation :** les attaques ne touchent que le conteneur, l’hôte reste intact
-----
-===== 2. Le Défi de la Data : transformer les logs =====
-Un honeypot peut recevoir **2 000 à 50 000 requêtes par jour**.
-Analyse manuelle impossible → besoin d’un pipeline ETL.
-==== 2.1 Extraction (JSON) ====
-Cowrie produit des logs structurés (IP, ports, commandes, fichiers…).
-==== 2.2 Enrichissement (Logstash) ====
-Ajout automatique :
-  * géolocalisation (GeoIP)
-  * menace connue (threat lists)
-==== 2.3 Visualisation (ELK) ====
-Permet d’analyser :
-  * pays les plus agressifs
-  * failles les plus scannées
-  * commandes utilisées
-----
-===== 3. Analyse des Payloads =====
-Les fichiers malveillants téléchargés via **wget** ou **curl** sont :
-  * capturés
-  * placés en quarantaine
-  * analysés dans une sandbox
-Cela permet d’identifier **le type et le comportement du malware**.
-----
-===== 4. Cadre Juridique et Limites =====
-Installer un honeypot implique des obligations légales :
-  * une adresse IP est une **%%donnée personnelle%%**
-  * le hack-back est **%%interdit en France%%**
-Le honeypot doit rester strictement défensif.
-----
-===== 5. Les Smart Honeypots (IA) =====
-Les attaquants utilisent des outils capables de détecter les leurres.
-Les honeypots statiques deviennent insuffisants.
-Les **Smart Honeypots** utilisent l’IA pour :
-  * analyser le comportement en temps réel
-  * adapter les réponses
-  * varier la latence
-  * générer de faux fichiers crédibles
-Objectif : leurrer humains et IA.
-----
-===== Conclusion =====
-Les honeypots sont devenus essentiels dans les SOC.
-L’avenir repose sur des honeypots intelligents capables d’adapter automatiquement leur comportement grâce à l’IA.