Breadcrumb (miette)

Comment ça fonctionne

Le principe repose sur l'asymétrie entre le défenseur, qui connaît son terrain, et l'attaquant, qui doit le découvrir. Après une compromission initiale, un intrus inspecte le poste pour trouver des chemins de rebond : informations d'identification mises en cache, partages réseau, connexions enregistrées, configurations d'outils. Le défenseur sème en amont des indices qui imitent exactement ces artefacts légitimes, mais qui mènent à des destinations contrôlées. Comme un utilisateur ou un processus normal n'a aucune raison d'interagir avec ces faux éléments, toute manipulation constitue un signal de haute fiabilité, avec très peu de faux positifs.

Une miette n'a de valeur que si elle est crédible et cohérente avec son environnement. Un identifiant administrateur enregistré sur un poste de comptabilité éveillera les soupçons ; le même identifiant sur une station d'administration paraîtra naturel. La crédibilité dépend du nommage, de l'emplacement, des horodatages et de la cohérence avec le reste du parc.

• Identifiants RDP ou SSH enregistrés pointant vers une machine leurre.
• Mots de passe stockés dans le gestionnaire du navigateur pour de fausses applications internes.
• Lecteurs réseau mappés ou partages SMB référençant un serveur de fichiers piégé.
• Historique de commandes (PowerShell, Bash) contenant des connexions vers des hôtes contrôlés.
• Entrées de configuration, fichiers de session ou clés de registre désignant des services factices.
• Signets de navigateur et raccourcis dirigeant vers une console d'administration leurre.

Placement et crédibilité

Le placement est l'élément déterminant de l'efficacité d'une miette. Elle doit être posée là où l'attaquant regardera spontanément, sans être si visible qu'elle trahisse sa nature artificielle. Les stations d'administration, les serveurs de saut et les postes d'utilisateurs à privilèges élevés sont des emplacements de choix, car ce sont précisément les cibles que recherche un intrus en quête d'élévation de privilèges et de rebond. Disperser les miettes de manière cohérente à travers le parc augmente la probabilité qu'une au moins soit découverte tôt dans l'intrusion.

La crédibilité exige aussi de soigner le revers de la médaille : la destination vers laquelle pointe la miette doit elle-même résister à l'inspection. Un identifiant qui ouvre une session sur un honeypot dont les services répondent de façon réaliste maintient l'illusion et prolonge l'engagement de l'attaquant, donnant au défenseur le temps d'observer ses outils, ses techniques et ses objectifs. À l'inverse, une miette qui mène à une coquille vide est rapidement repérée et abandonnée.

Complémentarité avec honeytokens et leurres

La miette s'inscrit dans une chaîne de tromperie. Elle est souvent matérialisée par un honeytoken, c'est-à-dire un identifiant, une clé ou une donnée artificielle dont toute utilisation déclenche une alerte ; la miette en est le support et le contexte, le honeytoken en est le mécanisme de détection. Le chemin balisé par les miettes débouche sur un leurre ou un honeypot, environnement complet conçu pour absorber et observer l'intrus. Là où le honeypot attend passivement qu'on vienne à lui, la miette agit comme un aimant qui oriente activement le mouvement latéral vers le piège.

Cette architecture en couches procure une détection précoce et une faible charge d'analyse : plutôt que de trier des millions d'événements pour repérer un comportement anormal, l'équipe de sécurité reçoit un signal net dès qu'une miette est touchée. Bien orchestrées, les miettes raccourcissent le temps de détection et fournissent un renseignement direct sur les intentions de l'adversaire.