On a pensé à mettre un honeypot sur notre serveur — utile pour une PME, ou trop risqué ?

Un honeypot n'est pas un outil de défense, c'est un outil de renseignement. Les grands groupes en montent pour analyser les techniques d'attaque. À l'échelle d'une PME, observer des bots aléatoires essayer d'entrer n'apporte strictement rien sur le plan commercial ou technique. Passez plutôt votre temps sur les correctifs de sécurité et la rigueur des sauvegardes.

Vos 40 000 tentatives, ce sont très probablement de simples bots de brute force qui scannent le web au hasard. Vous n'êtes même pas la cible d'une attaque ciblée ; monter un leurre et éplucher les logs revient à chercher une aiguille dans une botte de foin en risquant de mettre le feu au hangar. Avec une mauvaise config réseau, vous transformez votre serveur principal en cible ouverte.

Votre dev veut juste s'amuser, mais ça ne sert à rien. Changez le port SSH 22 pour un port aléatoire à cinq chiffres, désactivez le login par mot de passe pour forcer les clés SSH, et collez fail2ban sur le serveur. Vos 40 000 tentatives tomberont à zéro du jour au lendemain, et vous dormirez tranquilles.

L'année dernière, par curiosité, on a monté un honeypot low-interaction sur une IP à part. En une semaine, il a logué 180 000 IP. On a regardé ça tout excités pendant trois jours, et après plus personne n'a ouvert les logs. Ça nous a juste coûté 450 TL de plus par mois sur la facture de serveur, on a tout coupé au bout de deux mois.

mais du coup l'attaquant qui tombe dans le panneau, il croit vraiment avor piraté le serveur ? genre genre faut injecter de fausses données clients à l'intérieur pour que ce soit crédible ?

on avait testé ca a une epoque les logs ont tellement gonfle que le disque s'est rempli et la bdd principale a crash en plein milieu de la nuit. du coup a votre place je toucherais pas a ca les bases de secu suffisent largement.

Si votre équipe tient absolument à le mettre en place, respectez scrupuleusement ces règles : 1) Ne mettez jamais le honeypot sur le même réseau local que votre serveur de prod, isolez-le sur un VPS entièrement étanche. 2) Bloquez strictement tout trafic sortant, pour éviter que votre machine ne devienne un zombie servant à attaquer d'autres cibles. 3) Configurez une rotation quotidienne des logs pour ne pas saturer l'espace disque.

Bref, les honeypots sont réservés aux grosses équipes de sécurité qui traquent des attaques ciblées. Pour un petit site e-commerce, c'est du risque et de la charge inutile. Changer le port et passer à l'authentification par clé réglera votre souci à 100 %.

La discussion part dans tous les sens, je recentre. Commencez par un petit test, ne vous engagez pas sur tout d'un coup.

Bon courage.

Je suis d'accord.

Mon regard a changé après avoir vécu cela. Plus il est difficile de revenir sur une décision, plus il faut la prendre lentement.

C'est mon avis, je ne l'écris pas comme une vérité absolue.

Je me permets une petite mise en garde... La plupart des incidents ne viennent pas d'une faille, mais d'un mot de passe divulgué.

C'est mon avis, je ne l'écris pas comme une vérité absolue.

Je suis du même avis. franchement avant de décider regardez quelles données vous avez en main.

C'est confirmé par l'expérience.

Mes doutes sont levés, merci.

C'est exactement ça. Essayer de faire cela seul est la voie la plus coûteuse.

Le vrai problème n'est pas le chiffre, mais la base sur laquelle il est calculé. Bon courage.

Je suis passé par là, laissez-moi vous raconter. L'erreur commise du côté de qu'est-ce qu'un honeypot est généralement réversible, mais coûteuse.

j'ai travaillé longtemps sur ce sujet. bon avant de décider, regardez quelles données vous avez en main.

les environnements de test oubliés sont plus souvent des portes d'entrée que les systèmes de production.

Je suis d'accord. Si c'est une première, commencez petit, l'échelle viendra plus tard.

J'espère que cela vous sera utile.