Honeypot – exploration des cybermenaces

• Activité générale

Ce tableau représente l'activité globale de notre honeypot, ce qui correspond à son activité générale depuis sa mise en ligne.

Le tableau ci-dessous, représente une activité journalière de notre honeypot.

Voici la représentation graphique de l'activité quotidienne de notre honeypot. Les points indiquent le nombre des cyberattaques par jour.

Le graphique ci-dessous représente les vingt jours de plus grand nombre des cyberattaques enregistrées par notre honeypot.

Nous pouvons visualiser aussi la représentation graphique des dix combinaisons des noms d'utilisateurs et des mots de passe, le plus souvent utilisées par les attaquants. C'est le gaphique ci-dessous.

• Géolocalisation des attaquants

Nous allons choisir les dix plus grands attaquants dans la base des données de notre honeypot et procéder à leurs géolocalisation. Nous allons entrer ces données dans le tableau ci-dessous:

Afin de visualiser le volume des cyberattaques de chaqun d'entre eux, nous allons ajouter les codes des pays (à deux lettres) après leurs adresses IP. Nous obtiendrons ainsi leurs provenance géographique.
Sur le graphique ci-dessous, nous pouvons voir le volume des cyberattaques ainsi que les données de la géolocalisation des attaquant les plus actifs.

Ceci nous premet d'afficher les données du volume des cyberattaques en fonction des pays de leurs origines. Ci-dessous nous avons alors la représentation graphique du volume global des cyberattaques en fonction la géolocalisation des attaquants les plus actifs.

• Les intrusions

Certains attaquants ont réussi à trouver les bonnes combinaisons login/mot de passe, ce qui nous a permis d'observer leurs attaques. Voici la présentation des certaines données recueillies:

Voici la représentation graphique du ratio des cyberattaques "réussies". Pour cela, regardons le graphique présent ci-dessous.

Ci-dessous, nous trouvons le graphique affichant les intrusions hébdomadaires enregistrées par notre honeypot. Les points de la courbe indiquent le nombre total d'intrusions dans la même jornée.

Le graphique ci-dessous affiche les vingt jours ayant le plus grand nombres d'intrusions. Les chiffres indiquent combien de fois des informations d'identification correctes (login et mot de passe) ont été saisies par les attaquants.

Le graphe ci-dessous affiche le nombre d'intrusions réussies à partir de la même adresse IP. Les nombres indiquent combien de fois le même attaquant avait réussi d'ouvrir la session en saisissant le login et mot de passe correctement.

Nous allons procéder à la géolocalisation des adresses IP des dix attaquants, qui ont le taux de réussite le plus important.

Dans ce tableau, nous pouvons voir aussi les derniers mots de passe utilisés par les attaquants qui leurs ont permis d'accéder au système. Remarquez que se sont les mots de passe "standard" utilisés par beaucoup de professionels de l'infogérance (je ne vais pas citer les noms ici...).

Pour admirer les dix "combinaisons gagnantes", regardons le graphique ci-dessous.

Par cette petite experience, nous avons démontré que l'authentification par login et mot de passe n'est pas une méthode de protection suffisante. Afin de mieux protéger notre système contre ces cyberattaques, la méthode des clefs et/ou deuxième facteur d'authentification sera le meilleur choix. Il est également risqué d'autoriser le login "root" dans la configuration du serveur ssh.

• Activité post-compromise

Certains attaquants vont essayer de détourner "notre serveur" afin de s’en servir de relais pour mener des actions cybercriminelles et malveillantes, ou tout simplement, utiliser nos ressources pour miner la crypto-monnaie. Ces attaques sont de plus en plus fréquentes et ça arrive plus souvent qu'on y croit. Ce ne sont pas que de grandes entreprises qui sont visées. Nous allons voir ce que les attaquants espèrent d'obtenir en s'attaquant à notre "serveur". La plupart d'attaques est faite par les bots. Le problème de ces attaques est la saturation de la bande passante du serveur. Cependant ici, nous allons visualiser les véritables intrusions et tentatives de détournement du système. Contrairement aux idées reçues à ce sujet, ça arrive beaucoup plus souvent qu'on y pense.

Le graphique du dessous montre une "activité humaine" journalière. Il prends en compte le nombre d'intrusions dans le système pour chaque jour de fonctionnement du honeypot. Ici il s'agit des véritables tentatives de prise de contrôle de notre "serveur".

Le tableau ci-dessous montre les dix commandes "passwd et chpasswd" utilisées par les attaquants affin de modifier le mot de passe et prendre le contrôle totale de notre serveur.

Le tableau suivant affiche les dix commandes le plus fréquemment utilisées par les attaquants. Cela sert à effectuer un repèrage simplifié. Remarquez que beaucoup de commandes, ce sont celles qui indiquent le type du processeur utilisé et la quantité de mémoire installée, ce qui est très utile pour installer un crypto-miner (monnaie viruelle).

Le tableau du dessous affiche dix dernières commandes wget. Il s'agit bien des malwares que les attaquants tentent de nous faire télécharger afin de les installer dans notre système. Ces malwares pouraient être des backdoors, comme aussi des crypto-miners.

Voilà, notre petite "visite guidée" touche à sa fin. Soyez prudents et ne négligez pas les risques cyber. La cybermenace est bien réelle et les attaquants ne seront jamais gentils avec vous.