{"id":96228,"date":"2020-10-09T19:42:19","date_gmt":"2020-10-09T17:42:19","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/nevyrazimo-privlekatelen-kak-my-sozdali-hanipot-kotoryj-nelzya-razoblachit"},"modified":"2020-10-09T19:42:19","modified_gmt":"2020-10-09T17:42:19","slug":"nevyrazimo-privlekatelen-kak-my-sozdali-hanipot-kotoryj-nelzya-razoblachit","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/administrirovanie\/nevyrazimo-privlekatelen-kak-my-sozdali-hanipot-kotoryj-nelzya-razoblachit","title":{"rendered":"Infiniment attrayant : comment nous avons cr\u00e9\u00e9 un honeypot ind\u00e9tectable","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Infiniment
\nLes entreprises antivirus, les experts en cybers\u00e9curit\u00e9 et simplement les passionn\u00e9s mettent en ligne des syst\u00e8mes leurres \u2014 des honeypots \u2014 pour \u00ab attraper \u00e0 l'app\u00e2t \u00bb de nouvelles vari\u00e9t\u00e9s de virus ou d\u00e9couvrir des tactiques de hackers inhabituelles. Les honeypots sont si courants que les cybercriminels ont d\u00e9velopp\u00e9 une sorte d'immunit\u00e9 : ils d\u00e9tectent rapidement qu'il s'agit d'un pi\u00e8ge et l'ignorent tout simplement. Pour \u00e9tudier les tactiques des hackers modernes, nous avons cr\u00e9\u00e9 un honeypot r\u00e9aliste qui, pendant sept mois, a v\u00e9cu sur Internet, attirant les attaques les plus diverses. Nous avons relat\u00e9 cette exp\u00e9rience dans notre \u00e9tude \u00abCaught in the Act: Running a Realistic Factory Honeypot to Capture Real Threats<\/a><\/noindex>\u00bb. Quelques faits de l'\u00e9tude sont pr\u00e9sent\u00e9s dans cet article. <\/i>
\n<\/a><\/noindex><\/p>\n

D\u00e9veloppement du honeypot : liste de contr\u00f4le<\/h3>\n

\nL'objectif principal lors de la cr\u00e9ation de notre super pi\u00e8ge \u00e9tait d'\u00e9viter que des hackers int\u00e9ress\u00e9s ne nous d\u00e9masquent. Cela a demand\u00e9 un travail consid\u00e9rable : <\/p>\n

    \n
  1. Cr\u00e9er une l\u00e9gende r\u00e9aliste sur l'entreprise, incluant noms, photos des employ\u00e9s, num\u00e9ros de t\u00e9l\u00e9phone et adresses e-mail.<\/li>\n
  2. Inventer et mettre en \u0153uvre un mod\u00e8le d'infrastructure industrielle correspondant \u00e0 la l\u00e9gende sur les activit\u00e9s de notre entreprise. <\/li>\n
  3. D\u00e9terminer quels services r\u00e9seau seraient accessibles de l'ext\u00e9rieur, tout en veillant \u00e0 ne pas ouvrir de ports vuln\u00e9rables, afin que cela ne ressemble pas \u00e0 un pi\u00e8ge pour les na\u00effs. <\/li>\n
  4. Organiser l'apparence d'une fuite d'informations sur un syst\u00e8me vuln\u00e9rable et diffuser ces informations parmi les attaquants potentiels.<\/li>\n
  5. Impl\u00e9menter une surveillance discr\u00e8te des actions des hackers au sein de l'infrastructure du pi\u00e8ge. <\/li>\n<\/ol>\n

    \nEt maintenant, passons \u00e0 tout cela dans l'ordre.<\/p>\n

    Cr\u00e9ation de la l\u00e9gende<\/b><\/h3>\n

    \nLes cybercriminels sont d\u00e9j\u00e0 habitu\u00e9s \u00e0 rencontrer de nombreux honeypots, c'est pourquoi la partie la plus avanc\u00e9e d'entre eux effectue une recherche approfondie sur chaque syst\u00e8me vuln\u00e9rable pour s'assurer qu'il ne s'agit pas d'un pi\u00e8ge. Pour cette raison, nous avons cherch\u00e9 \u00e0 obtenir non seulement le r\u00e9alisme du honeypot en termes de design et d'aspects techniques, mais aussi \u00e0 cr\u00e9er l'apparence d'une v\u00e9ritable entreprise.<\/p>\n

    En nous mettant \u00e0 la place d'un hacker hypoth\u00e9tique, nous avons d\u00e9velopp\u00e9 un algorithme de v\u00e9rification permettant de distinguer un v\u00e9ritable syst\u00e8me d'un pi\u00e8ge. Cela incluait la recherche des adresses IP de l'entreprise dans les syst\u00e8mes de r\u00e9putation, l'analyse inverse de l'historique des adresses IP, la recherche de noms et de mots-cl\u00e9s li\u00e9s \u00e0 l'entreprise ainsi que ses partenaires et bien d'autres \u00e9l\u00e9ments. Au final, la l\u00e9gende \u00e9tait tout \u00e0 fait convaincante et attrayante.<\/p>\n

    Nous avons d\u00e9cid\u00e9 de positionner la fausse usine comme un petit atelier de prototypage industriel, travaillant pour de tr\u00e8s grands clients anonymes issus des secteurs militaire et a\u00e9ronautique. Cela nous a \u00e9pargn\u00e9s des complications juridiques li\u00e9es \u00e0 l'utilisation d'une marque existante.<\/p>\n

    Ensuite, nous devions \u00e9laborer une vision, une mission et un nom pour l'organisation. Nous avons convenu que notre entreprise serait une startup avec un nombre restreint d'employ\u00e9s, chacun \u00e9tant un fondateur. Cela ajoutait de la cr\u00e9dibilit\u00e9 \u00e0 la l\u00e9gende sur la sp\u00e9cialisation de notre activit\u00e9, permettant de travailler sur des projets d\u00e9licats pour de grands clients importants. Nous voulions que notre entreprise ait un aspect faible en termes de cybers\u00e9curit\u00e9, mais il devait \u00e9galement \u00eatre \u00e9vident que nous travaillions avec des actifs importants dans les syst\u00e8mes cibles.<\/p>\n

    \"Infiniment
    \nCapture d'\u00e9cran du site honey pot MeTech. Source : Trend Micro<\/i><\/p>\n

    Nous avons choisi le mot MeTech comme nom de l'entreprise. Le site a \u00e9t\u00e9 cr\u00e9\u00e9 sur la base d'un mod\u00e8le gratuit. Les images ont \u00e9t\u00e9 prises dans des banques d'images, en utilisant les moins populaires et en les retravaillant pour les rendre moins reconnaissables. <\/p>\n

    Nous voulions que l'entreprise ait l'air r\u00e9elle, il \u00e9tait donc n\u00e9cessaire d'y inclure des employ\u00e9s ayant des comp\u00e9tences professionnelles correspondant \u00e0 son activit\u00e9. Nous leur avons invent\u00e9 des noms et des personnalit\u00e9s, puis avons tent\u00e9 de choisir des images \u00e0 partir de banques d'images en fonction de l'appartenance ethnique. <\/p>\n

    \"Infiniment
    \nCapture d'\u00e9cran du site honey pot MeTech. Source : Trend Micro<\/i><\/i><\/p>\n

    Pour ne pas \u00eatre d\u00e9couverts, nous cherchions des photos de groupe de bonne qualit\u00e9, \u00e0 partir desquelles nous pourrions s\u00e9lectionner les visages dont nous avions besoin. Cependant, nous avons ensuite abandonn\u00e9 cette option, car un potentiel hacker pourrait utiliser la recherche d'image invers\u00e9e et d\u00e9couvrir que nos \"employ\u00e9s\" n'existent que dans des banques d'images. Finalement, nous avons utilis\u00e9 des photos de personnes inexistantes, cr\u00e9\u00e9es par intelligence artificielle.<\/p>\n

    Les profils des employ\u00e9s publi\u00e9s sur le site contenaient des informations importantes sur leurs comp\u00e9tences techniques, mais nous avons \u00e9vit\u00e9 de mentionner des \u00e9tablissements d'enseignement sp\u00e9cifiques et des villes.
    \nPour cr\u00e9er des bo\u00eetes aux lettres, nous avons utilis\u00e9 le serveur de l'h\u00e9bergeur, puis nous avons lou\u00e9 plusieurs num\u00e9ros de t\u00e9l\u00e9phone aux \u00c9tats-Unis et les avons int\u00e9gr\u00e9s dans un standard virtuel avec un menu vocal et un r\u00e9pondeur.<\/p>\n

    Infrastructure du honeypot<\/b><\/h3>\n

    \nPour \u00e9viter d'\u00eatre d\u00e9tect\u00e9s, nous avons d\u00e9cid\u00e9 d'utiliser une combinaison de mat\u00e9riel industriel r\u00e9el, d'ordinateurs physiques et de machines virtuelles s\u00e9curis\u00e9es. Pour faire avancer les choses, disons que le r\u00e9sultat de nos efforts a \u00e9t\u00e9 v\u00e9rifi\u00e9 \u00e0 l'aide du moteur de recherche Shodan, et il a montr\u00e9 que le honeypot ressemblait \u00e0 un v\u00e9ritable syst\u00e8me industriel.<\/p>\n

    \"Infiniment
    \nR\u00e9sultat du scan du honeypot avec Shodan. Source : Trend Micro<\/i><\/p>\n

    Comme 'mat\u00e9riel' pour notre pi\u00e8ge, nous avons utilis\u00e9 quatre PLC :<\/p>\n