Un consultant nous conseille d'installer un honeypot sur notre réseau : qu'est-ce que c'est et en a-t-on besoin ?

Techniquement, un honeypot c'est un serveur appât qui ne reçoit aucun trafic légitime sur votre réseau et qui contient de fausses failles. Un employé normal ne s'y connecte jamais ; donc tout paquet qui y arrive est directement un signe d'attaque ou de malware.

Votre consultant a l'air de vous proposer non pas ce dont vous avez besoin, mais le produit facile à vendre sur lequel il peut vous accrocher un abonnement mensuel. La priorité d'une boîte de logistique de 18 personnes, c'est la sauvegarde isolée contre les ransomwares, pas de monter un piège.

On en avait installé un par curiosité dans un bureau de taille similaire. On enregistrait des milliers de scans de bots automatiques par jour mais 99 % c'était du bruit générique venant d'internet. Sans expert pour intervenir, les fichiers de logs prenaient juste de la place sur le serveur.

Dépensez ces 130 000 roubles dans un bon pare-feu matériel et un système de sauvegarde hors ligne automatique. Plutôt que de recevoir l'alarme une fois que l'attaquant est entré, c'est beaucoup plus logique de lui compliquer l'entrée dès le départ.

si t'es pas une grande banque ou une boîte de télécom le honeypot c'est du pur fantasme. bon commence par renforcer les mots de passe du personnel et activer la double authentification ça suffit.

L'an dernier j'ai vu une structure similaire dans une boîte de douane. Pendant des mois personne n'avait regardé les logs du piège, et la vraie attaque a commencé quand la comptable a cliqué sur un mail de phishing. Le piège n'a servi à rien.

Le piège prévu sera exposé au réseau externe ou seulement placé sur le réseau local ? S'il est exposé à l'extérieur, un système mal configuré peut même devenir un nouveau marchepied pour que les attaquants rebondissent sur votre réseau.

En sécurité, la règle de base c'est de renforcer le maillon le plus faible. Dans une entreprise de 18 personnes, le maillon faible c'est pas les failles serveur, c'est les fausses pièces jointes de factures que les utilisateurs ouvrent. Mettez votre budget dans la sensibilisation du personnel et la sauvegarde.

J'ai travaillé longtemps sur ce sujet. Si vous ne formalisez pas cela par écrit dès le départ, des disputes éclateront plus tard.

Si vous écrivez le résultat ici, cela aidera aussi d'autres personnes.

Je vais défendre l'opposé, ne m'en veuillez pas. genre avant de décider, regardez quelles données vous avez en main.

Si l'autorisation et le périmètre ne sont pas écrits, ne lancez pas ce test. bon c'est mon avis, je ne l'écris pas comme une vérité absolue.

Il faut y aller étape par étape. Quand on essaie de tout changer en même temps, rien ne prend.

Lors de la prise de décision, écrivez aussi le pire scénario, pas seulement le meilleur.

Merci de partager le résultat.

C'est vrai en théorie, mais ça ne marche pas ainsi en pratique. La sécurité n'est pas absolue ; c'est rendre l'attaque trop coûteuse pour valoir l'effort.

Bon courage.

Je vais résumer ce qui a été dit jusqu'ici. Un rapport de scan automatique n'est pas la même chose qu'un test d'intrusion.

Si vous écrivez le résultat ici, cela aidera aussi d'autres personnes.

J'ai travaillé longtemps sur ce sujet. L'erreur commise du côté de honeypot est généralement réversible, mais coûteuse.

Si la double authentification est activée, un mot de passe volé seul ne suffit pas. Corrigez-moi si je me trompe.

je suis d'accord.

J'ai vécu la même chose.

vous avez raison. franchement les décisions hâtives finissent par être crrigées six mois plus tard.

c'est mon avis, je ne l'écris pas comme une vérité absolue.