Leurre (decoy)

Comment ça fonctionne

Un leurre est conçu pour être crédible. Il présente une surface réaliste : ports ouverts cohérents, bannières de service plausibles, noms d'hôte alignés sur la convention de nommage interne, certificats, comptes apparents et contenus factices mais vraisemblables. L'objectif est qu'un attaquant en phase de reconnaissance ne puisse pas distinguer le leurre d'un actif réel par simple scan ou énumération. Toute connexion, authentification, requête ou exfiltration tentée contre le leurre est journalisée et remontée comme alerte de haute fidélité.

Les leurres se déploient à l'échelle. Plutôt qu'un actif isolé, on dissémine des dizaines ou des centaines de leurres à travers les VLAN, les segments DMZ, les réseaux utilisateurs et les zones serveurs. Cette densité augmente la probabilité qu'un attaquant en mouvement touche un leurre avant d'atteindre une cible réelle, et permet de cartographier sa trajectoire au fil des interactions successives.

• Reconnaissance : un balayage réseau ou une énumération de services finit par interroger un leurre, déclenchant une alerte dès la phase de découverte.
• Mouvement latéral : un attaquant qui pivote de machine en machine se connecte à un partage, un RDP ou un service factice et se trahit.
• Vol d'identifiants : des comptes ou des secrets factices placés sur le leurre, utilisés ailleurs, révèlent que l'attaquant a tenté de les réutiliser.
• Détection précoce : parce qu'aucun trafic légitime ne vise un leurre, le signal est quasi exempt de faux positifs.

Leurre et honeypot : une distinction subtile

Les termes leurre et honeypot se recouvrent largement et sont souvent employés de façon interchangeable. La nuance tient à l'accent mis. Le mot leurre désigne avant tout l'actif factice lui-même : ce qui imite une ressource réelle pour attirer l'adversaire. Le terme honeypot met davantage l'accent sur la dimension piège instrumenté et surveillé, c'est-à-dire le système conçu pour observer, enregistrer et analyser en détail le comportement d'un attaquant qui s'y est laissé prendre.

Concrètement, un leurre devient un honeypot dès lors qu'il est instrumenté pour capturer l'activité. Inversement, tout honeypot est un leurre du point de vue de l'attaquant. En pratique moderne, on parle souvent de leurres lorsque l'on évoque le déploiement massif d'actifs factices répartis sur le réseau, et de honeypot lorsque l'on insiste sur l'analyse fine d'une interaction. Les deux notions s'inscrivent dans la même discipline et se complètent : le leurre attire, le honeypot observe.

Réalisme, échelle et rôle dans la défense

La valeur d'un leurre dépend entièrement de sa crédibilité. Un actif factice trop évident, mal intégré ou détectable par des outils d'analyse anti-déception sera ignoré ou contourné. La qualité du réalisme, la cohérence avec l'environnement réel et le placement stratégique des leurres conditionnent leur efficacité, davantage que leur seul nombre.

Les leurres s'articulent avec d'autres mécanismes de la sécurité par tromperie. Des breadcrumbs (miettes de chemin) disposés sur les postes réels, comme des identifiants enregistrés, des entrées d'historique ou des fichiers de configuration, orientent discrètement l'attaquant vers les leurres. Ensemble, ils raccourcissent fortement le délai de détection d'une intrusion et offrent aux équipes SOC une visibilité directe sur les tactiques de l'adversaire, sans dépendre de signatures ni de seuils comportementaux complexes.