Un honeypot est un système informatique ou un réseau volontairement laissé vulnérable aux pirates afin de détecter, d'analyser et de répondre aux menaces de sécurité potentielles. L'objectif d'un honeypot est de recueillir des informations sur les tactiques, techniques et procédures utilisées par les acteurs malveillants, ce qui peut contribuer à améliorer la sécurité globale du réseau.
alt text
Meilleure intelligence des menaces : les honeypots fournissent des informations précieuses sur les tactiques, techniques et procédures (TTP) des attaquants, aidant les équipes de sécurité à améliorer leurs défenses.
Détection et réponse précoces : les honeypots peuvent détecter les attaques dès leur début, ce qui permet une réponse rapide et l'atténuation des menaces.
Surface d'attaque réduite : en identifiant les vulnérabilités et les erreurs de configuration dans les honeypots, les organisations peuvent réduire la surface d'attaque et empêcher la propagation des attaques.
La mise en place d'un honeypot a été un excellent moyen pour moi de développer des connaissances dans divers domaines, notamment l'intelligence des menaces, la détection de vulnérabilités et les réseaux. En analysant les données collectées par mon honeypot, je pourrai obtenir des informations sur les tactiques et techniques des attaquants, à partir desquelles je pourrai créer des PoC ; cela est très utile lorsque de nouveaux 0day sont connus.
Non seulement cela serait utile pour l'intelligence des menaces, mais cela me permettrait également d'améliorer la posture de sécurité de mon organisation, de prévenir de futures attaques et d'améliorer les performances globales du système.
J'utilise tpot sur un serveur cloud Debian 12 avec 16 Go de RAM / 6 vCPU, entièrement isolé de mon infrastructure principale. L'installation a été assez simple : il suffisait d'exécuter un seul script, disponible ici, puis de redémarrer le système.
Une fois le système de nouveau en ligne, le panneau d'administration sera accessible sur le port 64297 et les connexions SSH sur le port 64295. Notez qu'une fois le système de nouveau en ligne, le chargement de tous les conteneurs Docker peut prendre un certain temps ; une fois chargé, le résultat devrait ressembler à ce qui suit lors de l'exécution de sudo docker ps :
Les journaux peuvent être récupérés depuis le dossier tpotce/data.
Dans ce dépôt, j'ai créé une GH Action qui agrège les 500 premières IP malveillantes collectées depuis Elastic et les envoie dans un fichier à partir duquel je chercherai à créer un nouveau workflow pour les soumettre et les marquer comme bad-reputation sur des sites courants d'intelligence des menaces tels que Talos CTI.
Un lien vers toutes les IP malveillantes détectées est disponible ici.
Si, pour une raison quelconque, vous souhaitez détecter les honeypots tpot, j'ai créé une méthode de détection ici. Afin d'exécuter ce script, quelques prérequis sont nécessaires :
nuclei -u https://host.com -t honeypot-detection.yamlSi vous avez des questions, n'hésitez pas à me contacter via Signal ou par e-mail : [email protected].
Si vous souhaitez soutenir mon travail, n'hésitez pas à faire un don via Buy Me a Coffee — votre soutien compte énormément et est vraiment apprécié !