Toure Oumar — Mars

La cybersécurité fait face à un défi majeur : la majorité des attaques ne sont plus réalisées par des humains, mais par des robots et des outils automatiques tels que des scanners massifs ou des scripts. Dans ce contexte, les protections classiques comme les firewalls ou les IDS montrent leurs limites : elles filtrent le trafic mais n’apprennent rien de ce qui se passe réellement.

Les honeypots modernes deviennent alors de véritables sondes de sécurité actives, capables d’observer et d’analyser en profondeur le comportement des attaquants. L’objectif est de transformer une tentative d’intrusion en renseignement utile.

Les premiers honeypots reposaient sur des machines physiques ou des machines virtuelles complètes. Aujourd’hui, ils fonctionnent principalement avec des conteneurs Docker, ce qui permet une meilleure isolation et une modularité plus grande.

L’hôte est généralement un serveur Linux sécurisé qui n’est pas directement exposé. Les services qui servent de leurres sont, eux, placés dans des conteneurs indépendants. Par exemple, Cowrie simule un environnement SSH ou Telnet réaliste, tandis que Dionaea capte des attaques ciblant les protocoles SMB, HTTP, FTP ou MSSQL. Grâce à l’isolation offerte par les conteneurs, une commande destructrice exécutée par un attaquant ne touche jamais le système réel : seul le conteneur temporaire est affecté, et il peut être redémarré immédiatement.

Un honeypot exposé sur Internet peut recevoir entre 2 000 et 50 000 requêtes par jour, ce qui rend l’analyse manuelle complètement impossible. C’est pour cela que les architectures modernes utilisent un pipeline ETL automatisé.

La première étape consiste en l’extraction des logs, souvent produits au format JSON. Cowrie fournit des données structurées comme les adresses IP, les ports ciblés, les commandes exécutées ou les fichiers téléchargés. Ces données sont ensuite enrichies via Logstash, notamment à l’aide de la géolocalisation des IP ou des bases d’adresses malveillantes connues. Enfin, les informations ainsi traitées sont visualisées dans des tableaux de bord Elasticsearch/Kibana, permettant de repérer les tendances, les pays les plus agressifs ou encore les failles les plus scannées.

Lorsqu’un attaquant tente de télécharger un fichier via wget ou curl, le honeypot le capture automatiquement. Le fichier est ensuite placé en quarantaine et analysé dans une sandbox, ce qui permet de déterminer son type, son comportement potentiel et parfois même sa famille de malware, sans jamais le lancer réellement sur la machine hôte.

Même si un attaquant commet un acte illégal, l’utilisation d’un honeypot impose des règles strictes. En effet, une adresse IP est considérée comme une donnée personnelle, ce qui oblige à la traiter comme telle. L’administrateur doit donc sécuriser sa collecte et sa conservation.

Il est également important de rappeler que le « hack back » est interdit en France. Le honeypot doit rester un outil d’observation et de défense passive, jamais une arme offensive.

Les attaquants d’aujourd’hui utilisent des outils capables d’identifier les leurres. Un honeypot statique devient donc facilement détectable. C’est pour cette raison que la nouvelle génération, appelée Smart Honeypots, utilise des techniques d’intelligence artificielle.

Ces systèmes analysent le comportement de l’attaquant en temps réel et adaptent dynamiquement leur réponse : variation de la latence, génération de faux fichiers crédibles ou modification du comportement simulé. Le but est de tromper non seulement les humains, mais aussi les IA utilisées par les cybercriminels.

Les honeypots ne sont plus de simples outils expérimentaux. Ils occupent désormais une place essentielle dans les Security Operations Centers. Avec l’intégration de l’IA, ils deviennent capables de s’adapter automatiquement pour piéger les attaquants plus longtemps et collecter des informations de plus en plus précises sur leurs techniques.

Un honeypot peut recevoir 2 000 à 50 000 requêtes par jour. Analyse manuelle impossible → besoin d’un pipeline ETL.

Cowrie produit des logs structurés (IP, ports, commandes, fichiers…).

Ajout automatique :

• géolocalisation (GeoIP)
• menace connue (threat lists)

Permet d’analyser :

• pays les plus agressifs
• failles les plus scannées
• commandes utilisées

Les fichiers malveillants téléchargés via wget ou curl sont :

• capturés
• placés en quarantaine
• analysés dans une sandbox

Cela permet d’identifier le type et le comportement du malware.

Installer un honeypot implique des obligations légales :

• une adresse IP est une donnée personnelle
• le hack-back est interdit en France

Le honeypot doit rester strictement défensif.

Les attaquants utilisent des outils capables de détecter les leurres. Les honeypots statiques deviennent insuffisants.

Les Smart Honeypots utilisent l’IA pour :

• analyser le comportement en temps réel
• adapter les réponses
• varier la latence
• générer de faux fichiers crédibles

Objectif : leurrer humains et IA.

Les honeypots sont devenus essentiels dans les SOC. L’avenir repose sur des honeypots intelligents capables d’adapter automatiquement leur comportement grâce à l’IA.