Aux origines : tromper plutôt que bloquer

L'idée n'est pas neuve. Dès 1986, l'astronome Clifford Stoll, au Lawrence Berkeley National Laboratory, remonte la trace d'un intrus à partir d'un écart comptable de 75 cents. Pour le garder connecté assez longtemps et tracer son origine, il fabrique de faux dossiers militaires, le projet « SDInet », un leurre avant l'heure. Il en tirera The Cuckoo's Egg (1989), récit fondateur de la traque numérique. Quelques années plus tard, en 1992, Bill Cheswick, des Bell Labs, formalise la démarche dans « An Evening with Berferd » : il enferme un attaquant dans un environnement contrôlé (un chroot jail) pour l'observer sans qu'il s'en doute. Le honeypot moderne était né, conceptuellement.

Il faudra attendre Lance Spitzner et la fondation du Honeynet Project (1999), puis son livre de référence Honeypots: Tracking Hackers (2002), pour en faire une discipline rigoureuse. Sa définition fait toujours autorité : un honeypot est « une ressource de sécurité dont la valeur tient au fait d'être sondée, attaquée ou compromise ».

Basse interaction : l'illusion à grande échelle

La première grande famille, la basse interaction, ne fait qu'émuler des services. L'attaquant croit parler à un vrai serveur SSH ou à un partage SMB ; il dialogue en réalité avec un script qui rejoue des réponses crédibles. L'outil emblématique reste Honeyd, écrit par Niels Provos en 2003 : capable de simuler des milliers d'hôtes virtuels sur des adresses IP inoccupées, il va jusqu'à usurper la signature TCP/IP de systèmes réels pour tromper le fingerprinting d'un nmap. L'intérêt est évident : un risque quasi nul (rien de réel à compromettre) et un déploiement massif. Sa limite l'est tout autant : un attaquant aguerri finit par buter sur les bords de l'illusion. Provos et Thorsten Holz en dresseront la cartographie complète dans Virtual Honeypots (2007).

Haute interaction : le vrai piège, et ses risques

À l'opposé, la haute interaction offre un véritable système d'exploitation, vulnérable pour de bon. On observe alors l'attaquant en train d'agir : outils déposés, mouvements latéraux, commandes tapées. C'est infiniment plus riche, et infiniment plus dangereux, car un honeypot compromis peut servir de rebond. Toute l'ingénierie des honeynets de génération II du Honeynet Project tient dans cet équilibre : le Honeywall, passerelle furtive, assure à la fois le contrôle des données (laisser entrer, brider la sortie pour éviter qu'on attaque des tiers depuis le piège) et la capture des données. C'est là qu'intervient Sebek, un module noyau qui enregistre l'activité de l'attaquant directement dans le kernel, y compris ses frappes au clavier dans une session SSH chiffrée, là où un simple sniffer réseau ne voit que du trafic illisible.

Honeytokens : la déception qui passe à l'échelle

Le déplacement le plus astucieux de ces vingt dernières années consiste à abandonner la machine entière au profit de l'appât unitaire. Un honeytoken n'est pas un serveur, c'est une donnée : un faux compte administrateur, un enregistrement bidon dans une base clients, une clé AWS factice glissée dans un dépôt de code. Personne de légitime n'a de raison d'y toucher : son usage est l'alerte. Thinkst l'a industrialisé avec les Canarytokens (documents piégés, URL, clés cloud, requêtes DNS) et son appliance Canary, au point d'en faire un standard de fait. L'avantage est décisif : un honeytoken se sème par milliers, ne coûte presque rien et se déclenche au cœur même de votre infrastructure, pas seulement à sa périphérie.

De l'artisanat à la « deception technology »

Côté outillage offensif-défensif, l'écosystème s'est professionnalisé : Cowrie (SSH/Telnet, successeur de Kippo) rejoue un faux shell complet et archive tout ce que l'attaquant télécharge ; Dionaea capture les malwares qui exploitent des services réseau ; T-Pot, la plateforme open source de Deutsche Telekom Security, orchestre des dizaines de ces capteurs en conteneurs et cartographie les attaques en temps réel. Les analystes de Gartner ont fini par baptiser la catégorie « deception technology », et le MITRE lui a donné un cadre doctrinal avec MITRE Engage (2022, successeur de Shield) : un référentiel qui pense la déception non plus comme un gadget, mais comme une stratégie d'engagement de l'adversaire à part entière.

L'arms race : quand l'attaquant traque le piège

C'est ici que la discipline devient vraiment pointue. Les attaquants ont appris à détecter les honeypots : artefacts d'environnement virtualisé, réponses trop parfaites ou au contraire incohérentes, latences anormales, absence de véritable historique système, signatures connues d'outils comme Cowrie. Des malwares se déclarent désormais « honeypot-aware » et s'autodétruisent au moindre soupçon. La réponse des défenseurs relève du tarpit, comme le LaBrea de Tom Liston (2001), qui retenait les vers de l'ère Code Red dans une mélasse de connexions TCP jamais refermées, et de la crédibilité poussée à l'extrême : honeypots peuplés de faux trafic, de faux utilisateurs, d'une fausse histoire. Le piège le plus efficace n'est pas le plus sophistiqué techniquement : c'est celui qui est indiscernable du réel.

Un détail qui n'en est pas un : le cadre légal

Déployer un honeypot revient à provoquer puis à enregistrer l'activité d'un tiers. En France comme en Europe, cela touche au RGPD (données personnelles des attaquants incluses) et aux règles encadrant l'interception de communications. Les recommandations de l'ANSSI et de l'ENISA convergent : un honeypot doit rester confiné, journalisé avec mesure, et ne jamais servir de tremplin offensif. La déception est une arme défensive ; elle se manie dans un cadre.

Et Mellisec dans tout ça ?

Toutes ces techniques partagent une faiblesse : un honeypot isolé ne protège que celui qui l'héberge, et seulement après avoir été visité. La rupture est ailleurs : dans la mutualisation. En reliant des milliers de capteurs et en diffusant instantanément chaque indicateur détecté, on transforme un piège local en système d'alerte collectif : la menace repérée chez un membre immunise tous les autres en quelques secondes. C'est exactement la logique de Mellisec : la puissance de la déception, mais à l'échelle d'un réseau.

Sources : C. Stoll, The Cuckoo's Egg (1989) · B. Cheswick, « An Evening with Berferd » (Bell Labs, 1992) · L. Spitzner, Honeypots: Tracking Hackers (Addison-Wesley, 2002) & The Honeynet Project (honeynet.org) · N. Provos & T. Holz, Virtual Honeypots (2007) · Thinkst Canarytokens (canarytokens.org) · T-Pot, Deutsche Telekom Security · MITRE Engage (engage.mitre.org) · T. Liston, LaBrea tarpit (2001) · recommandations ANSSI / ENISA.