{"id":96260,"date":"2020-10-09T19:42:45","date_gmt":"2020-10-09T17:42:45","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/honeypot-vs-deception-na-primere-xello"},"modified":"2020-10-09T19:42:45","modified_gmt":"2020-10-09T17:42:45","slug":"honeypot-vs-deception-na-primere-xello","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/administrirovanie\/honeypot-vs-deception-na-primere-xello","title":{"rendered":"Honeypot vs Deception : exemple avec Xello","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Honeypot<\/p>\n

Il existe d\u00e9j\u00e0 plusieurs articles sur Habr concernant les technologies Honeypot et Deception (1 article<\/a><\/noindex>, 2 articles<\/a><\/noindex>). Cependant, nous continuons \u00e0 rencontrer une incompr\u00e9hension de la diff\u00e9rence entre ces deux classes d'outils de protection. Pour cela, nos coll\u00e8gues de Xello Deception<\/a><\/noindex> (premier d\u00e9veloppeur russe de la plateforme Deception<\/a><\/noindex>) ont d\u00e9cid\u00e9 de d\u00e9crire en d\u00e9tail les diff\u00e9rences, les avantages et les aspects architecturaux de ces solutions.<\/p>\n

D\u00e9mystifions ce que sont les \u00ab honeypots \u00bb et les \u00ab d\u00e9ceptio \u00bb :<\/h2>\n

Les \u00ab technologies de tromperie \u00bb (en anglais, Deception technology) sont apparues sur le march\u00e9 des syst\u00e8mes de s\u00e9curit\u00e9 informatique relativement r\u00e9cemment. Cependant, certains sp\u00e9cialistes consid\u00e8rent encore la s\u00e9curit\u00e9 par tromperie comme de simples \u00ab honeypots \u00bb (en anglais, honeypot) plus avanc\u00e9s. <\/p>\n

Dans cet article, nous tenterons de mettre en lumi\u00e8re tant les similarit\u00e9s que les diff\u00e9rences fondamentales entre ces deux solutions. Dans la premi\u00e8re partie, nous parlerons du \u00ab honeypot \u00bb, de l'\u00e9volution de cette technologie et de ses avantages et inconv\u00e9nients. Dans la seconde partie, nous nous concentrerons sur les principes de fonctionnement des plateformes pour la cr\u00e9ation d'une infrastructure distribu\u00e9e d'objectifs trompeurs (en anglais, Distributed Deception Platform \u2014 DDP). <\/p>\n

Le principe de base des honeypots est la cr\u00e9ation de pi\u00e8ges pour les hackers. C'est sur ce m\u00eame principe que les toutes premi\u00e8res solutions Deception ont \u00e9t\u00e9 d\u00e9velopp\u00e9es. Cependant, les DDP modernes surpassent de loin les honeypots, tant par leur fonctionnalit\u00e9 que par leur efficacit\u00e9. Les plateformes Deception incluent : des pi\u00e8ges (en anglais, decoys, traps), des leurres (en anglais, lures), des applications, des donn\u00e9es, des bases de donn\u00e9es, Active Directory. Les DDP modernes peuvent offrir de larges possibilit\u00e9s pour la d\u00e9tection des menaces, l'analyse des attaques et l'automatisation des r\u00e9ponses. <\/p>\n

Ainsi, les Deception repr\u00e9sentent des techniques d'imitation de l'infrastructure informatique d'une entreprise et de d\u00e9sinformation des hackers. En fin de compte, ces plateformes permettent d'arr\u00eater les attaques avant qu'elles ne causent des dommages significatifs aux actifs de l'entreprise. Les honeypots, bien s\u00fbr, n'ont pas une fonctionnalit\u00e9 aussi large ni un niveau d'automatisation aussi \u00e9lev\u00e9, ce qui rend leur utilisation n\u00e9cessite une plus grande qualification du personnel des d\u00e9partements de s\u00e9curit\u00e9 informatique.<\/p>\n

1. Honeypots, Honeynets et Sandboxing : qu'est-ce que c'est et comment \u00e7a fonctionne<\/h2>\n

Le terme \u00ab honeypots \u00bb a \u00e9t\u00e9 utilis\u00e9 pour la premi\u00e8re fois en 1989 dans le livre de Clifford Stoll \u00ab The Cuckoo\u2019s Egg \u00bb, qui d\u00e9crit les \u00e9v\u00e9nements li\u00e9s \u00e0 la traque d'un hacker au National Laboratory de Lawrence Berkeley (\u00c9tats-Unis). En pratique, cette id\u00e9e a \u00e9t\u00e9 concr\u00e9tis\u00e9e en 1999 par Lance Spitzner, un expert en s\u00e9curit\u00e9 de l'entreprise Sun Microsystems, qui a fond\u00e9 le projet de recherche \u00ab Honeynet Project \u00bb. Les premiers honeypots \u00e9taient tr\u00e8s gourmands en ressources, complexes \u00e0 configurer et \u00e0 entretenir. <\/p>\n

Examinons plus en d\u00e9tail ce que sont les honeypots <\/strong>et les honeynets<\/strong>. Les honeypots sont des h\u00f4tes distincts dont l'objectif est d'attirer les attaquants \u00e0 tenter d'infiltrer le r\u00e9seau de l'entreprise et d'essayer de voler des donn\u00e9es pr\u00e9cieuses, ainsi qu'\u00e0 \u00e9tendre la port\u00e9e du r\u00e9seau. Un honeypot (traduit litt\u00e9ralement par \u00ab pot de miel \u00bb) est un serveur sp\u00e9cial avec un ensemble de diff\u00e9rents services et protocoles r\u00e9seau, tels que HTTP, FTP, etc. (voir fig. 1).<\/p>\n

\"Honeypot<\/p>\n

Si l'on combine plusieurs les honeypots <\/strong>en un r\u00e9seau, nous obtenons un syst\u00e8me plus efficace de honeynet<\/strong>, qui repr\u00e9sente une \u00e9mulation du r\u00e9seau d'entreprise de la soci\u00e9t\u00e9 (serveur web, serveur de fichiers et d'autres composants du r\u00e9seau). Cette solution permet de comprendre la strat\u00e9gie d'action des attaquants et de les tromper. Un honeynet typique fonctionne g\u00e9n\u00e9ralement en parall\u00e8le avec le r\u00e9seau de production et est compl\u00e8tement ind\u00e9pendant de celui-ci. Ce type de \u00ab r\u00e9seau \u00bb peut \u00eatre publi\u00e9 sur Internet via un canal s\u00e9par\u00e9, pour lequel une plage d'adresses IP distincte peut \u00e9galement \u00eatre attribu\u00e9e (voir fig. 2).<\/p>\n

\"Honeypot<\/p>\n

Le sens de l'utilisation d'un honeynet est de montrer au hacker qu'il a pr\u00e9tendument infiltr\u00e9 le r\u00e9seau d'entreprise, alors qu'en r\u00e9alit\u00e9, l'attaquant se trouve dans un \u00ab environnement isol\u00e9 \u00bb et sous la surveillance \u00e9troite des sp\u00e9cialistes en s\u00e9curit\u00e9 (voir fig. 3).<\/p>\n

\"Honeypot<\/p>\n

Il convient \u00e9galement de mentionner un outil tel que la \u00absandbox<\/strong>\u00bb (en anglais, sandbox<\/strong>), qui permet aux attaquants d'installer et d'ex\u00e9cuter des logiciels malveillants dans un environnement isol\u00e9, o\u00f9 les sp\u00e9cialistes en IT peuvent suivre leurs actions pour identifier les risques potentiels et prendre les mesures n\u00e9cessaires. Actuellement, le sandboxing est g\u00e9n\u00e9ralement impl\u00e9ment\u00e9 sur des machines virtuelles d\u00e9di\u00e9es sur un h\u00f4te virtuel. Cependant, il est important de noter que le sandboxing montre seulement comment se comportent les programmes dangereux et malveillants, tandis que le honeynet aide le sp\u00e9cialiste \u00e0 analyser le comportement des \u00ab joueurs dangereux \u00bb. <\/p>\n

L'avantage \u00e9vident des honeynets est qu'ils induisent les attaquants en erreur, gaspillants leurs forces, ressources et temps. En cons\u00e9quence, au lieu de cibler de r\u00e9elles objectifs, ils attaquent de fausses cibles et peuvent interrompre leurs attaques sur le r\u00e9seau sans rien accomplir. Les technologies honeynets sont le plus souvent utilis\u00e9es dans les institutions gouvernementales et les grandes entreprises, ainsi que dans les organisations financi\u00e8res, car ces structures deviennent des cibles pour les cyberattaques majeures. Cependant, les petites et moyennes entreprises (PME) ont \u00e9galement besoin d'outils efficaces pour pr\u00e9venir les incidents de s\u00e9curit\u00e9 de l'information, mais l'utilisation de honeynets dans le secteur des PME n'est pas si simple, en raison du manque de personnel qualifi\u00e9 pour un travail aussi complexe.<\/p>\n

Les limitations des solutions Honeypots et Honeynets<\/u><\/strong><\/p>\n

Pourquoi les honeypots et les honeynets ne sont-ils pas les meilleures solutions pour contrer les attaques aujourd'hui ? Il convient de noter que les attaques deviennent de plus en plus massives, techniquement complexes et peuvent causer des dommages significatifs \u00e0 l'infrastructure informatique d'une organisation, et la cybercriminalit\u00e9 a atteint un tout autre niveau, constituant des structures commerciales clandestines hautement organis\u00e9es \u00e9quip\u00e9es de toutes les ressources n\u00e9cessaires. \u00c0 cela s'ajoute le \u00ab facteur humain \u00bb (erreurs de configuration des logiciels et du mat\u00e9riel, actions des initi\u00e9s, etc.), il est donc d\u00e9j\u00e0 insuffisant de se fier uniquement \u00e0 des technologies pour pr\u00e9venir les attaques \u00e0 l'heure actuelle. <\/p>\n

Voici les principales limitations et inconv\u00e9nients des honeypots (honeynets) :<\/p>\n

    \n
  1. \n

    Les \u00ab honeypots \u00bb ont \u00e9t\u00e9 initialement con\u00e7us pour identifier les menaces qui se trouvent en dehors du r\u00e9seau d'entreprise, destin\u00e9s plut\u00f4t \u00e0 analyser le comportement des attaquants et non \u00e0 r\u00e9agir rapidement aux menaces. <\/p>\n<\/li>\n

  2. \n

    Les attaquants ont g\u00e9n\u00e9ralement appris \u00e0 reconna\u00eetre les syst\u00e8mes \u00e9mul\u00e9s et \u00e0 \u00e9viter les honeypots. <\/p>\n<\/li>\n

  3. \n

    Les honeynets (honeypots) pr\u00e9sentent un niveau d'interactivit\u00e9 et d'interaction avec d'autres syst\u00e8mes de s\u00e9curit\u00e9 extr\u00eamement faible, ce qui rend difficile, en utilisant des honeypots, d'obtenir des informations d\u00e9taill\u00e9es sur les attaques et les attaquants, et donc de r\u00e9agir efficacement et rapidement aux incidents de s\u00e9curit\u00e9 de l'information. De plus, les sp\u00e9cialistes de la s\u00e9curit\u00e9 re\u00e7oivent un grand nombre de fausses alertes concernant des menaces. <\/p>\n<\/li>\n

  4. \n

    Dans certains cas, les pirates peuvent utiliser un honeypot compromis comme point de d\u00e9part pour poursuivre leur attaque contre le r\u00e9seau de l'organisation. <\/p>\n<\/li>\n

  5. \n

    Des probl\u00e8mes de scalabilit\u00e9 des honeypots, de charge op\u00e9rationnelle \u00e9lev\u00e9e et de configuration de ces syst\u00e8mes (ils n\u00e9cessitent des sp\u00e9cialistes hautement qualifi\u00e9s, n'ont pas d'interface de gestion conviviale, etc.) se posent souvent. Il existe de grandes difficult\u00e9s \u00e0 d\u00e9ployer des honeypots dans des environnements sp\u00e9cialis\u00e9s, tels que l'IoT, les syst\u00e8mes de point de vente (POS), les syst\u00e8mes cloud, etc.<\/p>\n<\/li>\n<\/ol>\n

    2. Technologie de tromperie : avantages et principes de fonctionnement<\/h2>\n

    Apr\u00e8s avoir examin\u00e9 tous les avantages et inconv\u00e9nients des honeypots, nous en concluons qu'une approche compl\u00e8tement nouvelle est n\u00e9cessaire pour r\u00e9pondre aux incidents de s\u00e9curit\u00e9 de l'information, visant \u00e0 fournir une r\u00e9ponse rapide et ad\u00e9quate aux actions des attaquants. Et cette solution est repr\u00e9sent\u00e9e par les technologies. Cyber deception (Tromperie de s\u00e9curit\u00e9)<\/strong>. <\/p>\n

    La terminologie \u00ab Cyber deception \u00bb, \u00ab Security deception \u00bb, \u00ab Deception technology \u00bb, \u00ab Distributed Deception Platform \u00bb (DDP) est relativement nouvelle et est apparue r\u00e9cemment. En fait, tous ces termes d\u00e9signent l'utilisation de \u00ab technologies de tromperie \u00bb ou de \u00ab techniques d'imitation de l'infrastructure informatique et de d\u00e9sinformation pour les attaquants \u00bb. Les solutions de tromperie les plus simples d\u00e9veloppent les id\u00e9es des honeypots, mais \u00e0 un niveau technologiquement plus avanc\u00e9, permettant une meilleure automatisation de la d\u00e9tection et de la r\u00e9ponse aux menaces. Cependant, le march\u00e9 propose d\u00e9j\u00e0 des solutions s\u00e9rieuses de type DDP, offrant une facilit\u00e9 de d\u00e9ploiement et d'\u00e9volutivit\u00e9, ainsi qu'un arsenal solide de \u00ab pi\u00e8ges \u00bb et de \u00ab leurres \u00bb pour les attaquants. Par exemple, la tromperie permet d'\u00e9muler des objets de l'infrastructure informatique tels que des bases de donn\u00e9es, des stations de travail, des routeurs, des commutateurs, des distributeurs automatiques, des serveurs et des syst\u00e8mes SCADA, ainsi que des \u00e9quipements m\u00e9dicaux et l'IoT. <\/p>\n

    Comment fonctionne la \u00ab Distributed Deception Platform \u00bb ? Apr\u00e8s le d\u00e9ploiement de la DDP, l'infrastructure informatique de l'organisation sera construite comme si elle \u00e9tait compos\u00e9e de deux couches : la premi\u00e8re couche \u00e9tant l'infrastructure r\u00e9elle de l'entreprise, et la seconde \u00e9tant un environnement \u00ab \u00e9mul\u00e9 \u00bb, compos\u00e9 de pi\u00e8ges (en anglais, decoys, traps) et de leurres (en anglais, lures), qui sont situ\u00e9s sur de vrais dispositifs physiques du r\u00e9seau (voir Fig. 4).<\/p>\n

    \"Honeypot<\/p>\n

    Par exemple, un cybercriminel peut d\u00e9couvrir de fausses bases de donn\u00e9es contenant des \u00ab documents confidentiels \u00bb, de faux identifiants pr\u00e9tendument de \u00ab utilisateurs privil\u00e9gi\u00e9s \u00bb \u2014 toutes ces cibles sont trompeuses, elles peuvent attirer l'attention des intrus, d\u00e9tournant ainsi leur attention des v\u00e9ritables actifs informationnels de l'entreprise (voir fig. 5).<\/p>\n

    \"Honeypot<\/p>\n

    DDP est une nouveaut\u00e9 sur le march\u00e9 des produits de s\u00e9curit\u00e9 de l'information ; ces solutions n'ont que quelques ann\u00e9es et, pour le moment, seul le secteur corporatif peut se les permettre. Mais les petites et moyennes entreprises pourront bient\u00f4t \u00e9galement profiter de Deception, en louant DDP aupr\u00e8s de fournisseurs sp\u00e9cialis\u00e9s \u00ab en tant que service \u00bb. Cette option est m\u00eame plus pratique, car il n'est pas n\u00e9cessaire de disposer de personnel hautement qualifi\u00e9.<\/p>\n

    Voici les principaux avantages de la technologie Deception :<\/p>\n