honeypot-foundry

À propos du projet

Honeypot Foundry est une boîte à outils complète, prête pour la production, conçue pour le déploiement et la gestion du cycle de vie des honeypots dans des environnements d'entreprise. Un honeypot, en cybersécurité, est un système ou service délibérément exposé qui imite une infrastructure réelle pour attirer les attaquants. Lorsqu'un attaquant interagit avec un honeypot, chaque action est journalisée et analysée, fournissant des renseignements sur les menaces d'une valeur inestimable sans mettre en danger les systèmes de production réels. Cette boîte à outils permet aux équipes de sécurité de déployer plusieurs types de honeypots — des capteurs à faible interaction qui émulent des services de base (SSH, HTTP, FTP, SMB) aux pièges à forte interaction qui simulent des systèmes d'exploitation entiers. Chaque instance de honeypot est entièrement configurable via des fichiers de configuration basés sur YAML, permettant aux équipes de personnaliser les services exposés, le niveau d'interaction autorisé et la manière dont les alertes sont générées. La plateforme s'intègre nativement à Elasticsearch pour l'agrégation et l'analyse des logs, permettant aux analystes sécurité de corréler l'activité des honeypots avec d'autres événements de sécurité dans leur SIEM. Des tableaux de bord en temps réel offrent une visibilité sur les schémas d'attaque, la géolocalisation des IP sources, les techniques d'attaque (mappées au cadre MITRE ATT&CK) et les tendances temporelles. Les fonctionnalités clés incluent le déploiement automatisé via des conteneurs Docker, la gestion centralisée de plusieurs instances de honeypots, des seuils d'alerte configurables, l'intégration avec des flux de renseignement sur les menaces pour enrichir la réputation des IP, et la génération automatisée de rapports pour la conformité et la documentation de réponse à incident.

Pourquoi c'est important

Les honeypots représentent l'une des stratégies les plus puissantes mais les moins utilisées en cybersécurité défensive. Contrairement aux contrôles de sécurité traditionnels qui sont réactifs (pare-feu, antivirus), les honeypots sont des mécanismes de détection proactifs — toute interaction avec eux est intrinsèquement suspecte, puisqu'aucun utilisateur ou système légitime ne devrait jamais y accéder. Cela réduit considérablement les faux positifs, un défi persistant dans les opérations de sécurité. Dans le paysage moderne des menaces, où les attaquants contournent régulièrement les défenses périmétriques, les honeypots servent de système d'alerte précoce au cœur du réseau. Ils détectent les mouvements latéraux d'insiders et de menaces persistantes avancées (APT) qui ont déjà franchi les défenses initiales. Pour les organisations soumises à des exigences réglementaires (PCI-DSS, HIPAA, SOC 2), les honeypots apportent une preuve de capacités proactives de détection des menaces. Ce projet comble une lacune critique dans l'écosystème open source en fournissant une plateforme de honeypot de niveau entreprise, facile à déployer, à configurer et à intégrer à l'infrastructure de sécurité existante — des capacités auparavant disponibles uniquement via des solutions commerciales coûteuses.

Guide étape par étape

1. Clonez le dépôt et installez toutes les dépendances à l'aide du script d'installation fourni. La boîte à outils nécessite Docker et Python 3.8+ comme prérequis. Exécutez 'pip install -r requirements.txt' pour installer les dépendances Python.
2. Configurez votre déploiement de honeypot en modifiant le fichier honeypot.config.yaml. Définissez les services à simuler (SSH, HTTP, FTP, SMB, MySQL, etc.), configurez les interfaces réseau et les ports, la verbosité des logs, et les destinations des alertes (email, Slack, webhook).
3. Déployez vos honeypots à l'aide de la commande 'foundry deploy --profile production'. Cela lancera des conteneurs Docker pour chaque service configuré, mettra en place la collecte des logs et initialisera le tableau de bord de surveillance. Utilisez '--profile staging' pour les tests avant le déploiement en production.
4. Surveillez les alertes entrantes via le tableau de bord Kibana intégré, qui fournit une visualisation en temps réel de l'activité d'attaque, des cartes thermiques géographiques des origines des attaquants et une corrélation automatisée avec des indicateurs de renseignement sur les menaces connus. Exportez les données vers votre SIEM existant pour une analyse centralisée.

Technologies utilisées