Un prestataire nous propose un honeypot — c'est quoi et est-ce pertinent pour une petite boîte ?

Ce que votre prestataire vous propose, c'est probablement un honeypot basse interaction. En gros, un soft basique qui imite un vrai serveur mais ne fait tourner que de faux services. C'est un super radar d'alerte précoce pour intercepter les mouvements latéraux en interne, mais ce n'est pas un bouclier défensif : ça sert juste de sonnette d'alarme.

Classique chez les informaticiens. Pas plus tard que la semaine dernière, j'ai vu des mecs essayer de vendre des honeypots à des boîtes dont les OS n'étaient même pas à jour et avec des mots de passe en carton. C'est comme poser un faux portefeuille dans son jardin pour guetter les voleurs alors qu'on n'a pas de serrure sur la porte d'entrée. Réglez d'abord la double authentification et les backups.

On est dans la logistique à Milan, avec 30 postes sur le réseau. On a reçu exactement le même devis à environ 1 000 €, on a refusé. À la place, notre propre admin a configuré un fichier piège et un faux partage réseau open source. Ça tourne depuis deux ans à 0 €. Le seul moment où ça a sonné, c'est quand un stagiaire a lancé un scan réseau par erreur.

Le honeypot a un seul gros avantage : il n'y a jamais de faux positif. Un pare-feu standard vous balance des centaines d'alertes inutiles par jour qui fatiguent tout le monde. Alors que si quelqu'un touche au honeypot, c'est soit un attaquant, soit un salarié qui outrepasse ses droits. Par contre payer 150 € par mois pour surveiller ça, c'est trop pour un budget de PME.

Dites à votre fournisseur italien : « On ne veut pas de honeypot en périmétrie, installez un simple leurre virtuel sur le réseau interne et incluez-le dans notre maintenance annuelle globale plutôt que dans une maintenance mensuelle. » Au lieu de bloquer 150 € par mois, investissez cet argent dans une solution de sauvegarde cloud.

mais une fois ce piège installé les hackers oublient notre vrai serveur ERP quand ils attaquent ? genre ça fonctionne cmome un paratonnerre qui absorbe l'attaque et protège physiquement le reste de l'entreprise ?

Non, c'est pas un paratonnerre. Ça ne fait que distraire le hacker quelques minutes. Son vrai but c'est de vous faire gagner du temps ; dès que le piège se déclenche, une notif arrive sur le portable de votre admin système et ça vous donne l'occasion d'isoler la menace sur le réseau. S'il n'y a personne pour intervenir, le piège tout seul n'a aucun pouvoir de protection.

Ma question va paraître un peu novice, désolé d'avance. Ce qui nous faisait perdre le plus de temps, c'était l'absence de clarté sur qui prenait les décisions.

C'est mon avis je ne l'écris pas comme une vérité absolue.

Si j'ai bien compris, vous dites que : Le vrai problème n'est pas le chiffre, mais la base sur laquelle il est calculé.

Corrigez-moi si je me trompe.

J'ai vécu la même chose. Les décisions hâtives finissent par être corrigées six mois plus tard.

Bon courage.

Absolument. Si j'ajoute quelque chose : Ce que tout le monde fait ne signifie pas que c'est la bonne chose.

J'espère que cela vous sera utile.

je suis d'accord. si vous obtenez trois réponses différentes sur un sujet, la question est mal posée.

c'est coonfirmé par l'expérience.

Merci beaucoup, cela m'a été très utile. Quand on décide sans mesurer, on revient toujours au même point.

Si vous avez des questions, écrivez-moi, je répondrai au mieux.

Je vous conseille de ne pas vous presser. Si vous obtenez trois réponses différentes sur un sujet, la question est mal posée.

Corrigez-moi si je me trompe.

Chez nous aussi.

Trois avis différents sont sortis ils se complètent tous... du coup la plupart des incidents ne viennent pas d'une faille mais d'un mot de passe divulgué.

À votre place, j'irais par cette voie.

Sujet très actuel.

C'est une bonne idée d'avoir ouvert ce sujet. Lors de la prise de décision écrivez aussi le pire scénario, pas seulement le meilleur.

Ce que tout le monde fait ne signifie pas que c'est la bonne chose. Voilà désolé si je me suis étendu.