{"id":30311,"date":"2019-10-31T21:34:49","date_gmt":"2019-10-31T18:34:49","guid":{"rendered":"https:\/\/prohoster.info\/blog\/analiz-atak-na-hanipot-cowrie\/"},"modified":"2019-10-31T21:34:49","modified_gmt":"2019-10-31T18:34:49","slug":"analiz-atak-na-hanipot-cowrie","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/analiz-atak-na-hanipot-cowrie","title":{"rendered":"Analyse des attaques sur le honeypot Cowrie","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Statistiques des 24 heures suivant l'installation du honeypot sur le serveur Digital Ocean \u00e0 Singapour<\/b> <\/p>\n

Piu-piu ! Commen\u00e7ons tout de suite avec la carte des attaques<\/h1>\n

\nNotre carte super classe montre les ASN uniques qui se sont connect\u00e9s \u00e0 notre honeypot Cowrie au cours des 24 derni\u00e8res heures. Le jaune correspond aux connexions SSH, et le rouge - aux connexions Telnet. De telles animations impressionnent souvent le conseil d'administration de l'entreprise, permettant ainsi d'obtenir plus de financements pour la s\u00e9curit\u00e9 et les ressources. Cependant, la carte a une certaine valeur, montrant clairement la r\u00e9partition g\u00e9ographique et organisationnelle des sources d'attaque sur notre h\u00f4te en seulement 24 heures. Le volume de trafic de chaque source n'est pas refl\u00e9t\u00e9 dans l'animation.
\n<\/a><\/noindex><\/p>\n

Qu'est-ce que la carte Pew Pew ?<\/h3>\n

\nCarte Pew Pew<\/i> \u2014 ce sont des visualisation des cyberattaques<\/a><\/noindex>, g\u00e9n\u00e9ralement anim\u00e9e et tr\u00e8s belle. C'est une mani\u00e8re tendance de vendre votre produit, tristement c\u00e9l\u00e8bre pour avoir \u00e9t\u00e9 utilis\u00e9e par la soci\u00e9t\u00e9 Norse Corp. Cette derni\u00e8re a mal fini : il s'est av\u00e9r\u00e9 que leurs belles animations \u00e9taient leur unique atout, et pour l'analyse, ils utilisaient des donn\u00e9es fragmentaires.<\/p>\n

Fait avec Leafletjs<\/h3>\n

\nPour ceux qui souhaitent d\u00e9velopper une carte des attaques pour un grand \u00e9cran dans le centre d'op\u00e9rations (votre patron adorera), il existe une biblioth\u00e8que leafletjs<\/a><\/noindex>. Nous l'associons avec le plugin de couche de migration leaflet<\/a><\/noindex>, le service Maxmind GeoIP - et voil\u00e0<\/a><\/noindex>.<\/p>\n

\"Analyse<\/a><\/noindex><\/p>\n

WTF : qu'est-ce que le honeypot Cowrie ?<\/h1>\n

\nUn honeypot est un syst\u00e8me qui est d\u00e9ploy\u00e9 dans le r\u00e9seau sp\u00e9cifiquement pour attirer les attaquants. Les connexions au syst\u00e8me sont g\u00e9n\u00e9ralement ill\u00e9gales et permettent de d\u00e9tecter l'attaquant gr\u00e2ce \u00e0 des logs d\u00e9taill\u00e9s. Les logs conservent non seulement des informations classiques sur la connexion, mais aussi des informations de session, r\u00e9v\u00e9lant la technique, la tactique et les proc\u00e9dures (TTP)<\/b> de l'attaquant.<\/p>\n

Le honeypot Cowrie<\/a><\/noindex> est con\u00e7u pour enregistrer les connexions SSH et Telnet<\/b>. Ces honeypots sont souvent expos\u00e9s sur Internet pour suivre les outils, scripts et h\u00f4tes des attaquants.<\/p>\n

Mon message aux entreprises qui pensent qu'elles ne sont pas attaqu\u00e9es : \u00ab Vous cherchez mal \u00bb.
\n\u2014 James Snook<\/i><\/p><\/blockquote>\n

\n\"Analyse
\n<\/p>\n

Qu'est-ce qu'il y a dans les logs ?<\/h1>\n

<\/p>\n

Nombre total de connexions<\/h3>\n

\nDe nombreux h\u00f4tes ont soumis plusieurs tentatives de connexion. C'est normal, car les scripts d'attaquants contiennent une liste de donn\u00e9es d'identification et ils essaient diff\u00e9rentes combinaisons. Le honeypot Cowrie est configur\u00e9 pour accepter des combinaisons sp\u00e9cifiques de nom d'utilisateur et de mot de passe. Cela se configure dans fichier user.db<\/b>.<\/p>\n

\"Analyse
\n<\/p>\n

G\u00e9ographie des attaques<\/h3>\n

\nD'apr\u00e8s les donn\u00e9es de g\u00e9olocalisation Maxmind, j'ai compt\u00e9 le nombre de connexions par pays. Le Br\u00e9sil et la Chine arrivent largement en t\u00eate, venant souvent de ces pays, on observe un fort bruit provenant de scanners.<\/p>\n

\"Analyse
\n<\/p>\n

Propri\u00e9taire du bloc r\u00e9seau<\/h3>\n

\nL'\u00e9tude des propri\u00e9taires de blocs r\u00e9seaux (ASN) peut mettre en \u00e9vidence des organisations avec un grand nombre d'h\u00f4tes attaquants. Bien s\u00fbr, dans ces cas, il convient toujours de garder \u00e0 l'esprit que de nombreuses attaques proviennent d'h\u00f4tes compromis. On peut raisonnablement supposer que la plupart des malfaiteurs ne sont pas assez stupides pour scanner le r\u00e9seau depuis un ordinateur domestique.<\/p>\n

\"Analyse
\n<\/p>\n

Ports ouverts sur les syst\u00e8mes attaquants (donn\u00e9es de Shodan.io)<\/h3>\n

\nPassage de la liste IP par le Shodan API<\/a><\/noindex> d\u00e9termine rapidement les syst\u00e8mes avec des ports ouverts<\/b> et quels sont ces ports. Le graphique ci-dessous montre la concentration des ports ouverts par pays et organisations. On aurait pu identifier des blocs de syst\u00e8mes compromis, mais dans un \u00e9chantillon petit<\/b> rien d'exceptionnel n'est visible, \u00e0 part un grand nombre de ports ouverts 500 en Chine<\/b>.<\/p>\n

Une d\u00e9couverte int\u00e9ressante - un grand nombre de syst\u00e8mes au Br\u00e9sil, dont les ports 22, 23 ne sont pas ouverts<\/b> ou autres ports<\/b>, selon Censys et Shodan. \u00c0 premi\u00e8re vue, ce sont des connexions provenant des ordinateurs des utilisateurs finaux.<\/p>\n

\"Analyse
\n <\/p>\n

Bots ? Pas n\u00e9cessairement<\/h3>\n

\nDonn\u00e9es Censys<\/a><\/noindex> pour les ports 22 et 23 ce jour-l\u00e0 a montr\u00e9 des comportements \u00e9tranges. Je pensais que la plupart des scans et des attaques par mot de passe provenaient de bots. Un script se propage \u00e0 travers les ports ouverts, essayant des mots de passe, puis se copie depuis un nouveau syst\u00e8me et continue de se propager par le m\u00eame moyen.<\/p>\n

Mais ici, il est clair que seuls quelques h\u00f4tes scannant telnet ont le port 23 ouvert vers l'ext\u00e9rieur. Cela signifie que les syst\u00e8mes sont soit compromis d'une autre mani\u00e8re, soit les malfaiteurs ex\u00e9cutent des scripts manuellement.<\/p>\n

\"Analyse
\n<\/p>\n

Connexions domestiques<\/h3>\n

\nUne autre d\u00e9couverte int\u00e9ressante a \u00e9t\u00e9 le grand nombre d'utilisateurs domestiques dans l'\u00e9chantillon. Gr\u00e2ce \u00e0 la recherche invers\u00e9e <\/b> j'ai identifi\u00e9 105 connexions provenant d'ordinateurs personnels sp\u00e9cifiques. Pour de nombreuses connexions domestiques, la recherche DNS invers\u00e9e affiche un nom d'h\u00f4te avec les mots dsl, home, cable, fibre, etc.<\/p>\n

\"Analyse
\n<\/p>\n

Apprenez et explorez : mettez en place votre propre honeypot<\/h1>\n

\nR\u00e9cemment, j'ai \u00e9crit un bref manuel sur comment installer un honeypot Cowrie sur votre syst\u00e8me<\/a><\/noindex>. Comme mentionn\u00e9 pr\u00e9c\u00e9demment, dans notre cas, nous avons utilis\u00e9 un VPS Digital Ocean \u00e0 Singapour. Apr\u00e8s 24 heures d'analyse, le co\u00fbt a \u00e9t\u00e9 litt\u00e9ralement de quelques centimes, et le temps n\u00e9cessaire pour mettre en place le syst\u00e8me a \u00e9t\u00e9 de 30 minutes.<\/p>\n

Au lieu de lancer Cowrie sur Internet et de subir tout le bruit, vous pouvez tirer parti du honeypot dans un r\u00e9seau local. Il vous suffit de mettre en place une notification si des requ\u00eates arrivent sur certains ports. Cela pourrait \u00eatre soit un attaquant \u00e0 l'int\u00e9rieur du r\u00e9seau, soit un employ\u00e9 curieux, soit un scan de vuln\u00e9rabilit\u00e9s.<\/p>\n

Conclusions<\/h1>\n

\nApr\u00e8s avoir observ\u00e9 les actions des attaquants pendant une journ\u00e9e, il est clair qu'il est impossible d'isoler une source \u00e9vidente des attaques provenant d'une organisation, d'un pays ou m\u00eame d'un syst\u00e8me d'exploitation.<\/p>\n

La large dispersion des sources montre que le bruit de scan est constant et n'est pas associ\u00e9 \u00e0 une source particuli\u00e8re. Quiconque travaille sur Internet doit s'assurer que son syst\u00e8me dispose de plusieurs niveaux de s\u00e9curit\u00e9<\/b>. Un moyen courant et efficace de SSH<\/b> renforcer la s\u00e9curit\u00e9 serait de d\u00e9placer le service vers un port \u00e9lev\u00e9 al\u00e9atoire. Cela n'\u00e9limine pas la n\u00e9cessit\u00e9 d'une protection par mot de passe stricte et d'une surveillance, mais cela garantit au moins que les journaux ne sont pas satur\u00e9s par un scan constant. Les connexions \u00e0 un port \u00e9lev\u00e9 sont plus susceptibles d'\u00eatre des attaques cibl\u00e9es qui peuvent vous int\u00e9resser.<\/p>\n

Souvent, les ports Telnet ouverts se trouvent sur des routeurs ou d'autres appareils, donc il n'est pas facile de les d\u00e9placer vers un port \u00e9lev\u00e9. Les informations sur tous les ports ouverts<\/a><\/noindex> et de la surface d'attaque<\/a><\/noindex> sont le seul moyen de s'assurer que ces services sont prot\u00e9g\u00e9s par un pare-feu ou d\u00e9sactiv\u00e9s. Dans la mesure du possible, n'utilisez pas du tout Telnet, car ce protocole n'est pas chiffr\u00e9. S'il est n\u00e9cessaire et que cela ne peut pas \u00eatre \u00e9vit\u00e9, surveillez-le attentivement et utilisez des mots de passe fiables.
\n
Source : habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0421\u0442\u0430\u0442\u0438\u0441\u0442\u0438\u043a\u0430 \u0437\u0430 24 \u0447\u0430\u0441\u0430 \u043f\u043e\u0441\u043b\u0435 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0438 \u0445\u0430\u043d\u0438\u043f\u043e\u0442\u0430 \u043d\u0430 \u0443\u0437\u043b\u0435 Digital Ocean \u0432 \u0421\u0438\u043d\u0433\u0430\u043f\u0443\u0440\u0435 \u041f\u0438\u0443-\u043f\u0438\u0443! \u041d\u0430\u0447\u043d\u0451\u043c \u0441\u0440\u0430\u0437\u0443 \u0441 \u043a\u0430\u0440\u0442\u044b \u0430\u0442\u0430\u043a \u041d\u0430\u0448\u0430 \u0441\u0443\u043f\u0435\u0440\u043a\u043b\u0430\u0441\u0441\u043d\u0430\u044f \u043a\u0430\u0440\u0442\u0430 \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u0443\u043d\u0438\u043a\u0430\u043b\u044c\u043d\u044b\u0435 ASN, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0430\u043b\u0438\u0441\u044c \u043a \u043d\u0430\u0448\u0435\u043c\u0443 \u0445\u0430\u043d\u0438\u043f\u043e\u0442\u0443 Cowrie \u0437\u0430 24 \u0447\u0430\u0441\u0430. \u0416\u0451\u043b\u0442\u044b\u0439 \u0441\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0443\u0435\u0442 SSH-\u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f\u043c, \u0430 \u043a\u0440\u0430\u0441\u043d\u044b\u0439\u00a0\u2014 Telnet. \u0422\u0430\u043a\u0438\u0435 \u0430\u043d\u0438\u043c\u0430\u0446\u0438\u0438 \u0447\u0430\u0441\u0442\u043e \u0432\u043f\u0435\u0447\u0430\u0442\u043b\u044f\u044e\u0442 \u0441\u043e\u0432\u0435\u0442 \u0434\u0438\u0440\u0435\u043a\u0442\u043e\u0440\u043e\u0432 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438, \u0447\u0442\u043e \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u0432\u044b\u0431\u0438\u0442\u044c \u0431\u043e\u043b\u044c\u0448\u0435 \u0444\u0438\u043d\u0430\u043d\u0441\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u043d\u0430 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c \u0438 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[],"tags":[],"class_list":["post-30311","post","type-post","status-publish","format-standard","hentry"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47 Analyse des attaques sur le honeypot Cowrie | ProHoster","description":"Statistiques sur 24 heures apr\u00e8s l'installation du honeypot sur un n\u0153ud Digital Ocean \u00e0 Singapour Piou-piou!","canonical_url":"https:\/\/prohoster.info\/fr\/blog\/analiz-atak-na-hanipot-cowrie","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"fr_FR","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0410\u043d\u0430\u043b\u0438\u0437 \u0430\u0442\u0430\u043a \u043d\u0430 \u0445\u0430\u043d\u0438\u043f\u043e\u0442 Cowrie | ProHoster","og:description":"\u0421\u0442\u0430\u0442\u0438\u0441\u0442\u0438\u043a\u0430 \u0437\u0430 24 \u0447\u0430\u0441\u0430 \u043f\u043e\u0441\u043b\u0435 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0438 \u0445\u0430\u043d\u0438\u043f\u043e\u0442\u0430 \u043d\u0430 \u0443\u0437\u043b\u0435 Digital Ocean \u0432 \u0421\u0438\u043d\u0433\u0430\u043f\u0443\u0440\u0435 \u041f\u0438\u0443-\u043f\u0438\u0443!","og:url":"https:\/\/prohoster.info\/fr\/blog\/analiz-atak-na-hanipot-cowrie","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T18:34:49+00:00","article:modified_time":"2019-10-31T18:34:49+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"30311","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"Article","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-21 00:36:20","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 03:37:27","updated":"2026-01-21 00:36:20","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/30311","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/comments?post=30311"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/30311\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/media?parent=30311"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/categories?post=30311"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/tags?post=30311"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}