Honeypot haute interaction vs basse interaction

Basse interaction : simple, sûr, déployable à grande échelle

Un honeypot basse interaction émule un ensemble restreint de services et de réponses sans exécuter de véritable système d'exploitation ni d'application complète. Il simule par exemple une bannière SSH, un port SMB ouvert ou une page de connexion, mais ne permet pas à l'attaquant d'obtenir un shell réel ou d'exécuter du code arbitraire. L'interaction se limite aux premières phases d'une intrusion : scan, énumération, tentatives d'authentification.

Cette simplicité est précisément sa force. Le périmètre d'attaque exposé étant minimal, le risque qu'un adversaire prenne réellement le contrôle du leurre et l'utilise comme point de pivot vers le reste du réseau est très faible. La maintenance est légère et le déploiement peut être massif et automatisé : on parsème un environnement de dizaines, voire de centaines de capteurs pour détecter au plus tôt tout balayage ou mouvement latéral.

• Coût et empreinte ressources faibles, idéal pour une couverture large.
• Risque opérationnel réduit : pas de système réel à compromettre.
• Renseignement limité aux phases initiales (scan, credentials testés, signatures de scan).
• Excellent générateur d'alertes à forte valeur, avec très peu de faux positifs puisque tout contact est par nature suspect.

La contrepartie est double. D'une part, le renseignement reste superficiel : on observe l'intention, rarement les outils, les charges utiles ou les techniques post-exploitation. D'autre part, un attaquant expérimenté repère souvent l'émulation, car les réponses manquent de profondeur, les piles réseau présentent des artefacts et les comportements s'écartent de ceux d'un véritable service.

Haute interaction : réalisme maximal, renseignement riche, risque élevé

Un honeypot haute interaction expose un système d'exploitation et des services réels et pleinement fonctionnels. L'attaquant peut s'y authentifier, obtenir un shell, déposer des fichiers, exécuter des binaires et tenter de progresser comme sur une cible légitime. Parce que rien n'est émulé, le leurre est extrêmement difficile à distinguer d'un actif de production.

C'est la source de renseignement la plus précieuse. On capture l'intégralité de la chaîne d'attaque : exploits employés, élévation de privilèges, outils déposés, infrastructure de commande et contrôle contactée, tactiques et procédures de l'adversaire. Ces données alimentent directement le renseignement sur les menaces et la rédaction de règles de détection fiables.

• Renseignement profond et exhaustif sur le comportement réel de l'attaquant.
• Détectabilité très faible : le réalisme du système trompe même les adversaires aguerris.
• Risque majeur : un système réellement compromis peut servir de rebond vers le réseau.
• Coût élevé en isolation, supervision, maintenance et restauration après compromission.

Ce réalisme impose une discipline opérationnelle stricte. Un honeypot haute interaction doit être rigoureusement cloisonné, par segmentation réseau, par filtrage sortant et par instrumentation, afin qu'une compromission ne se transforme jamais en porte d'entrée vers les actifs de production. Sans cette isolation, le leurre devient un risque plutôt qu'un atout.

Moyenne interaction et choix d'une stratégie

Entre les deux se situe la moyenne interaction. Ces honeypots émulent des services avec une logique applicative plus poussée que la basse interaction, par exemple un véritable interpréteur de commandes simulé ou un système de fichiers fictif, sans exposer un système d'exploitation réel. Ils offrent un meilleur réalisme et un renseignement plus riche tout en conservant une partie de la sûreté de l'émulation, au prix d'une complexité accrue.

Le choix dépend de l'objectif. Pour une détection précoce et une couverture étendue à faible risque, privilégiez la basse interaction et complétez-la par des leurres et des breadcrumbs disséminés dans l'environnement. Pour la recherche, l'analyse de campagnes ciblées ou la production de renseignement détaillé, la haute interaction s'impose, à condition de disposer des ressources d'isolation et de supervision nécessaires. La plupart des programmes matures de sécurité par tromperie combinent les deux niveaux pour conjuguer largeur de détection et profondeur d'analyse, en s'appuyant sur la quasi-absence de faux positifs propre à tout honeypot bien conçu.