Honeytoken

Comment ça fonctionne

Le principe repose sur l'instrumentation. Chaque honeytoken est associé à un mécanisme de détection qui se déclenche dès qu'il est manipulé. Une fausse clé d'API, par exemple, est connue du fournisseur ou d'un service de surveillance : la première requête signée avec cette clé lève immédiatement une alerte, en révélant l'adresse IP, l'horodatage et parfois la région d'où provient l'appel. Un faux compte Active Directory déclenche un événement de sécurité dès la première tentative d'authentification. Un document piégé peut embarquer une balise qui appelle un serveur distant à son ouverture.

• Création : on génère une donnée crédible mais factice, indiscernable d'un secret réel pour un attaquant.
• Placement : on la dépose là où un intrus ira fouiller (fichiers de configuration, gestionnaires de mots de passe, annuaire, bases de données).
• Instrumentation : on relie le token à un capteur qui notifie tout accès ou tout usage.
• Alerte : la moindre interaction génère un événement enrichi (qui, quand, depuis où), prêt à être corrélé dans le SIEM ou le SOAR.

Parce qu'aucun flux métier ne devrait jamais croiser ces données, le taux de bruit est quasi nul. C'est exactement l'inverse d'une règle de détection comportementale, qui doit composer en permanence avec le faux positif.

Honeytoken, honeypot et notions voisines

La confusion la plus fréquente oppose honeytoken et honeypot. Un honeypot est un système surveillé (serveur, service, machine) qui imite une ressource réelle et observe les attaquants qui s'y connectent. Un honeytoken, lui, n'est pas un système : c'est une donnée inerte que l'on sème un peu partout. On peut d'ailleurs disséminer des centaines de honeytokens à coût quasi nul, là où déployer un honeypot demande des ressources d'hébergement et de maintenance.

• Le canary token est une forme très répandue de honeytoken : un jeton léger (URL, document, clé) qui « chante » dès qu'on le touche.
• Le breadcrumb (miette de pain) est une trace volontairement laissée sur un poste pour guider l'attaquant vers un leurre ; un honeytoken peut servir de breadcrumb.
• Le honeypot complète le dispositif en offrant une cible interactive une fois l'attaquant attiré.
• Le faux positif est précisément ce que le honeytoken minimise, puisque tout déclenchement est légitimement suspect.

Cas d'usage : vol d'identifiants et exfiltration

Les honeytokens excellent dans la détection précoce des mouvements latéraux et du vol de secrets. De faux identifiants placés dans un fichier de configuration, un script ou un coffre de mots de passe ne seront trouvés que par quelqu'un qui fouille, c'est-à-dire un attaquant ou un outil de collecte automatisée. Leur usage signale alors que la compromission a déjà eu lieu et qu'une progression est en cours. De même, un enregistrement leurre injecté dans une base de données clients ne sera lu que lors d'une exfiltration massive : sa réapparition ailleurs, ou la requête qui le touche, dévoile la fuite. Cette stratégie raccourcit drastiquement le délai de détection, souvent le maillon faible face aux ransomwares et aux attaques par double extorsion.