La fonctionnalité cloud honeypot détecte les attaques et en identifie les sources, qu'elles proviennent de l'intérieur ou de l'extérieur de votre environnement cloud. Déployez des honeypots dans vos Virtual Private Clouds (VPC) et sur les serveurs protégés par Security Center pour intercepter les attaquants avant qu'ils n'accèdent à vos actifs réels.
Fonctionnement
Le service cloud honeypot déploie des systèmes leurres imitant vos actifs métier réels, sans vocation productive. Ces leurres attirent les attaquants, ce qui vous permet d'observer leur comportement, de collecter des renseignements et de renforcer vos défenses effectives. Comme les honeypots ne remplissent aucune fonction métier légitime, toute tentative de connexion est considérée comme suspecte et déclenche une alerte.
Le cloud honeypot utilise deux types de sondes pour rediriger le trafic vers les honeypots :
Sondes VPC — Le trafic destiné à des adresses IP inaccessibles au sein de vos VPC est automatiquement redirigé vers les honeypots. Les sondes VPC ne consomment aucune ressource hôte ni réseau.
Sondes d'hôte — Installez une sonde sur un hôte exécutant vos charges de travail. La sonde transfère uniquement le trafic inhabituel vers le cluster de honeypots, avec un impact minimal sur l'hôte et sans affecter vos applications.
Combinez les sondes VPC et les sondes d'hôte pour protéger un grand nombre d'adresses IP à moindre coût.
Concepts clés
| Concept | Description |
| Sonde VPC | Composant natif du cloud qui redirige le trafic destiné aux adresses IP inaccessibles d'un VPC vers des honeypots. Ne consomme aucune ressource hôte ni réseau. |
| Sonde d'hôte | Agent léger installé sur un hôte de production. Transfère le trafic inhabituel vers le cluster de honeypots avec une utilisation minimale des ressources et sans impact sur les performances des applications. Compatible avec la plupart des matériels et systèmes d'exploitation courants. |
| Honeypot à faible interaction | Service simulé écoutant sur tous les ports et enregistrant les tentatives de connexion. Moins fidèle à la réalité, mais rapide à déployer et évolutif. Privilégiez ce type pour une couverture large à faible coût. |
| Honeypot à haute interaction | Émulation complète d'un hôte ou d'un service vulnérable. Couvre les applications web, les bases de données, les services système, les défauts spécifiques et les types de services personnalisés. Offre une fidélité supérieure et des données plus riches sur le comportement des attaquants. Choisissez ce type lorsque vous avez besoin d'une analyse détaillée des techniques d'attaque. |
| Cluster de honeypots | Groupe de honeypots intégrés et personnalisés déployés conjointement. Accroît la portée de la tromperie et rend plus difficile la distinction entre honeypots et actifs réels pour les attaquants. |
| Honeypot personnalisé | Honeypot basé sur un conteneur que vous construisez pour simuler votre environnement métier spécifique. Prend en charge une simulation métier haute fidélité. |
| Détection d'évasion Docker | Activée par défaut dans chaque cluster de honeypots. Détecte les tentatives des attaquants pour s'échapper de l'environnement conteneurisé. |
| Nœud de gestion | Contrôle les règles de transfert de trafic des sondes d'hôte. Même si un nœud de gestion est compromis, les attaquants ne peuvent pas l'utiliser pour contrôler l'hôte sous-jacent via la sonde. |
Environnements pris en charge
| Environnement | Type de sonde | Notes |
| Alibaba Cloud | Sondes VPC | Aucun agent requis. Couvre les adresses IP inaccessibles du VPC sans coût en ressources hôte. |
| Clouds tiers | Sondes d'hôte | Nécessite l'installation d'un agent sur chaque hôte. Compatible avec la plupart des matériels et systèmes d'exploitation courants. |
| Centres de données | Sondes d'hôte | Nécessite l'installation d'un agent sur chaque hôte. Compatible avec la plupart des matériels et systèmes d'exploitation courants. |
Remarques d'utilisation
Performances et stabilité
| Composant | Impact sur les performances | Impact sur la stabilité |
| Sonde VPC | Aucune consommation de ressources hôte ou réseau. | Simule l'interaction avec le trafic de scan. Les logiciels de détection d'actifs qui initient des scans peuvent générer des faux positifs. |
| Sonde d'hôte | Transfère uniquement le trafic de port inhabituel. Utilisation minimale des ressources système. | Occupe des ports sur l'hôte. Allouez soigneusement les ports de l'hôte avant le déploiement pour éviter les conflits avec vos charges de travail de production. |
Sécurité
L'isolation réseau est strictement appliquée entre les honeypots et les sondes. Même si le cluster de honeypots est compromis, les attaquants ne peuvent pas atteindre votre réseau de production via le chemin de communication entre le honeypot et la sonde.
Chaque utilisateur bénéficie d'un cluster de honeypots dédié, avec la détection d'évasion Docker activée par défaut.
Limitations
Sondes d'hôte
Les sondes d'hôte ne peuvent être installées que sur les serveurs répertoriés dans le module Assets de la console Security Center et protégés par Security Center.
Sondes VPC
Les sondes VPC sont prises en charge dans les régions suivantes :
Chine : Chine (Qingdao), Chine (Pékin), Chine (Zhangjiakou), Chine (Hohhot), Chine (Ulanqab), Chine (Hangzhou), Chine (Shanghai), Chine (Shenzhen), Chine (Heyuan), Chine (Guangzhou), Chine (Chengdu), Chine (Hong Kong)
Hors Chine : Japon (Tokyo), Singapour, Indonésie (Jakarta), États-Unis (Virginie), États-Unis (Silicon Valley), Royaume-Uni (Londres), Émirats arabes unis (Dubaï), Allemagne (Francfort)