HoneyWire

📋 Table des matières

• Vue d'ensemble
• Démonstration
• La norme universelle d'événements
• Fonctionnalités
• Architecture
• Guide de démarrage rapide
• Notes de sécurité
• Pile technologique
• Feuille de route et développement
• Versionnage et référence API

Vue d'ensemble

HoneyWire est un constructeur de système d'alerte précoce de sécurité distribué, léger et à haut signal, conçu pour les réseaux internes. Il exploite son architecture et son UX pour rendre incroyablement facile la création d'un nouveau serveur Cyber Canary ou le déploiement de HoneyWires sur des serveurs existants. Grâce à la technologie de déception, il remplace l'approche « loupe » des SIEM traditionnels qui noient souvent les analystes sous de faux positifs en surveillant le trafic légitime, par un modèle de Tripwire haute fidélité.

Placez un capteur exactement là où vous le souhaitez. S'il se déclenche, vous avez un intrus.

• Tripwires de production : Déclenchent l'alarme lorsque des services actifs sont sondés d'une manière qui ne devrait pas l'être. En plaçant un capteur sur un fichier sensible qui ne devrait jamais être lu ou sur un port de service qui ne devrait jamais être accédé, vous identifiez les intrus par leur écart par rapport au « chemin autorisé ».
• Déception synthétique : Déployez des leurres comme l'ICMP Canary ou le Network Scan Detector pour servir de leurres. Comme ces capteurs n'offrent aucune valeur commerciale légitime, 100 % de leur trafic est un renseignement exploitable.

Installez-en plusieurs et vous commencerez à avoir une idée assez claire du mouvement latéral d'un intrus. Pas de réglage, pas de bruit, juste une forensique instantanée. Si vous avez des scanners de sécurité automatisés légitimes qui déclenchent des HoneyWires, il suffit de les mettre sur liste blanche dans les paramètres du Hub.

Démonstration

🔌 La norme universelle d'événements (Apportez votre propre capteur)

Capteurs communautaires

Remarque : Si vous construisez votre capteur à l'aide des SDK officiels HoneyWire, ce formatage JSON et cette livraison sont gérés automatiquement pour vous.

La véritable puissance de HoneyWire réside dans le fait que le Hub et l'Assistant sont totalement agnostiques vis-à-vis des capteurs. Vous n'êtes pas limité aux capteurs officiels inclus.

En adhérant à la norme d'événements HoneyWire V2.0, vous pouvez écrire un script dans n'importe quel langage (Bash, Go, Rust, Python) pour surveiller n'importe quoi, et l'interface Sentinel analysera dynamiquement, mettra en évidence la syntaxe et rendra vos données forensiques.

Qu'il s'agisse d'un moteur d'inspection approfondie des paquets (DPI), d'un sinkhole DNS, d'un jeton Canary intégré dans un PDF, d'un honeypot e-mail ou d'un simple Tripwire de port TCP, il suffit d'envoyer la charge utile JSON de la norme universelle d'événements au Hub.

Consultez le contrat complet de données d'événements ici

Fonctionnalités

• L'interface du Hub Sentinel : Un tableau de bord entièrement réactif propulsé par Vue 3, avec inspection dynamique des charges utiles forensiques, déploiement et gestion des nœuds et des capteurs, y compris les mises à jour des capteurs, directement depuis l'interface.
  • Notifications push universelles : Intégration native sans dépendance pour acheminer les alertes critiques vers Discord, Slack, Ntfy et Gotify.
  • Intégration SIEM d'entreprise : Transfert natif Syslog RFC5424 (TCP/UDP) pour pousser de manière transparente la télémétrie structurée vers Splunk, Elastic, Wazuh ou Vector.
• L'assistant de configuration : Un outil d'automatisation de déploiement et de test, développé explicitement pour ne pas être un agent fonctionnant 24h/24 et 7j/7. C'est simplement un outil CLI TUI qui automatise les tâches de l'opérateur comme l'application et la réconciliation de l'état souhaité du Hub pour un nœud donné, en gérant automatiquement la configuration, le déploiement et les rollbacks en cas d'échec de déploiement.
• Suite de HoneyWires officiels : Inclut le TCP Tarpit natif, le Web Router Decoy, le File Canary (FIM), l'ICMP Canary et le Network Scan Detector.

Architecture

HoneyWire est divisé en quatre microservices indépendants :

1. /Hub : Le cerveau central. Un binaire Go pur exécutant une base de données SQLite intégrée et le tableau de bord Vue.js. Il s'exécute en tant qu'utilisateur non-root dans un conteneur Distroless, montant en toute sécurité les données sur un volume dédié.
2. /Sensors : Les nœuds leurres. Des binaires Go liés statiquement qui écoutent sur des ports vulnérables, piègent les attaquants et envoient en toute sécurité les données d'intrusion au Hub.
3. /SDKs : Les bibliothèques officielles (comme sdk-go) qui gèrent la communication sécurisée avec le Hub afin que les développeurs communautaires puissent facilement créer de nouveaux capteurs.
4. /wizard : Outil CLI d'assistant de configuration pour automatiser les tâches de l'opérateur telles que la découverte, le déploiement et le test des HoneyWires.