L'expert sécu me parle de « honeypots » (pots de miel) — c'est quoi, on en a vraiment besoin ?

En interne, un pot de miel prend souvent la forme d'un faux partage réseau SMB ou d'un faux port de base de données laissé ouvert. Quand un pirate entre sur le réseau, il scanne partout pour se déplacer latéralement. Dès qu'il touche à ce faux port, l'alerte « intrus sur le réseau » remonte direct. Sur le papier l'idée est top, mais l'administrer demande de vraies compétences.

Le consultant essaie de vous refourguer une solution typée grand compte pour vous caler un abonnement mensuel. Dans une boîte de 35 personnes, même si le pot de miel détecte un pirate sur votre serveur, vous avez une équipe sécu en interne pour réagir sur-le-champ ? Utilisez plutôt ce budget pour consolider vos sauvegardes.

On a testé un honeypot open source sur notre réseau interne il y a deux ans par curiosité. Bilan sur un an : trois alertes en tout. Deux causées par un stagiaire en compta qui s'amusait avec un scanner réseau, et une par un conflit d'IP sur une imprimante. Aucune vraie attaque externe interceptée. Bloquer plus de 5 000 $ par an là-dedans à cette échelle, ce n'est pas rentable.

Au lieu de lâcher cet argent au consultant, regardez du côté des canary tokens gratuits. Vous glissez un faux fichier nommé « salaires-2024.xlsx » sur votre serveur de fichiers. Dès que quelqu'un l'ouvre, vous recevez un e-mail d'alerte. Coût : zéro euro, temps d'installation : cinq minutes.

Vous avez quoi comme protection sur vos postes de travail et est-ce que les ports de vos serveurs exposés au web sont testés régulièrement ? Vous proposer directement du leurre sans que ce socle de base soit en place c'est mettre la charrue avant les bœufs.

on a voulu nous vendre le même genre de package sécu payez pas d'abonnement mensuel pour rien. activez la double auth sur le vpn, mettez des mdp béton sur les serveurs et basta, les pots de miel pour un grossiste de 35 personnes c'est du luxe inutile.

C'est comme laisser un faux portefeuille sur la table alors qu'il n'y a même pas de serrure sur la porte d'entrée. Le consultant s'est trouvé une jolie rente, faut lui reconnaître ça.

edit : j'ai écrit une erreur ci-dessus, désolé.

J'ai vécu exactement la même chose il y a deux ans. L'erreur commise du côté de honeypot est généralement réversible mais coûteuse.

À votre place j'irais par cette voie.

Je suis une petite entreprise, laissez-moi expliquer de mon point de vue. Commencez par un petit test ne vous engagez pas sur tout d'un coup.

À votre place, j'irais par cette voie.

Absolument. Si j'ajoute quelque chose : Tout va bien les trois premiers mois, les problèmes arrivent au quatrième.

Le temps que vous mettez à détecter un problème détermine directement son coût. C'est mon avis, je ne l'écris pas comme une vérité absolue.

Je suis dans la même situation, c'est pourquoi je pose la question. Si la double authentification est activée, un mot de passe volé seul ne suffit pas.

Ce qui nous faisait perdre le plus de temps, c'était l'absence de clarté sur qui prenait les décisions. Je suis aussi curieux de savoir si d'autres font autrement.

Merci beaucoup, cela m'a été très utile.

je suis d'accord.

Je vais expliquer comment c'est fait en pratique. Les solutions qui fonctionnent à petite échelle s'effondrent en grandissant, j'ai appris cela trop tard.

Corrigez-moi si je me trompe.

C'est vrai en théorie, mais ça ne marche pas ainsi en pratique. Les gens défendent l'habitude, pas le processus. La résistance vient de là.

La sécurité n'est pas absolue ; c'est rendre l'attaque trop coûteuse pour valoir l'effort. J'espère que cela vous sera utile.

Je trouve difficile d'être aussi catégorique côté honeypot. Avant de décider, regardez quelles données vous avez en main.

C'est mon avis, je ne l'écris pas comme une vérité absolue.

C'est globalement vrai mais il manque un point. Quand on essaie de tout changer en même temps rien ne prend.

Si vous grondez les fausses alertes, plus personne ne signalera rien. Bien sûr, cela change si votre situation est différente.

Je vais expliquer comment c'est fait en pratique. Une modification des coordonnées bancaires n'est jamais confirmée par le canal d'origine.

C'est confirmé par l'expérience.