Honeypot – exploration des cybermenaces

• Activité générale

Ce tableau représente l'activité globale de notre honeypot, ce qui correspond à son activité générale depuis sa mise en ligne.

Le tableau ci-dessous, représente une activité journalière de notre honeypot.

Voici la représentation graphique de l'activité quotidienne de notre honeypot. Les points indiquent le nombre des cyberattaques reçues par jour.

Le graphique ci-dessous représente les vingt jours de plus grand nombre des cyberattaques reçues, qui ont été enregistrées par notre honeypot.

Nous pouvons visualiser aussi la représentation graphique des dix combinaisons des noms d'utilisateurs et des mots de passe, le plus souvent utilisées par les attaquants. C'est le graphique ci-dessous.

• Géolocalisation des attaquants

Nous allons choisir les dix plus grands attaquants dans la base des données de notre honeypot et procéder à leurs géolocalisation. Nous allons entrer ces données dans le tableau ci-dessous:

Afin de visualiser le volume des cyberattaques de chaqun d'entre eux, nous allons ajouter les codes des pays (à deux lettres) après leurs adresses IP. Nous obtiendrons ainsi leurs provenance géographique.
Sur le graphique ci-dessous, nous pouvons voir le volume des cyberattaques ainsi que les données de la géolocalisation des attaquant les plus actifs.

Ceci nous premet d'afficher les données du volume des cyberattaques en fonction des pays de leurs origines. Ci-dessous nous avons la représentation graphique du volume global des cyberattaques reçues en fonction la géolocalisation des attaquants les plus actifs.

• Les intrusions

Certains attaquants ont réussi à trouver les bonnes combinaisons login/mot de passe, ce qui nous a permis à observer leurs attaques. Voici la présentation des certaines données recueillies:

Voici la représentation graphique du ratio des cyberattaques "réussies". Pour cela, regardons le graphique présent ci-dessous. La raison du ratio des réussites si faible c'est utilisation des mots de passe assez forts et robustes. Nous savons qu'ils sont présents dans les wordlists des attaquants et la réussite ce n'est qu'une question de temps. La raison de cette politique était de ne pas avoir d'attaques réussies depuis les réseaux de botnets, qui ciblent la majorité des péripheriques IoT. C'est pour mieux simmuler les condition d'une petite entreprise beneficiant des services proposés par une petite sociéte de l'infogérance dans ce temps d'une pandemie du COVID-19.

Ci-dessous, nous trouvons le graphique affichant les intrusions hébdomadaires enregistrées par notre honeypot. Les points de la courbe indiquent le nombre total d'intrusions dans la même jornée.

Le graphique ci-dessous affiche les vingt jours ayant le plus grand nombres d'intrusions. Les chiffres indiquent combien de fois des informations d'identification correctes (login et mot de passe) ont été saisies par les attaquants.

Le graphe ci-dessous affiche le nombre d'intrusions réussies à partir de la même adresse IP. Les nombres indiquent combien de fois le même attaquant avait réussi d'ouvrir la session en saisissant le login et mot de passe correctement.

Nous allons procéder à la géolocalisation des adresses IP des dix attaquants, qui ont le taux de réussite le plus important.

Dans ce tableau, nous pouvons voir aussi les derniers mots de passe utilisés par les attaquants qui leur ont permis d'accéder au système. Remarquez que ce sont les mots de passe "standard" utilisés par beaucoup de professionels de l'infogérance (je ne vais pas citer les noms ici...).

Pour contempler les dix "combinaisons gagnantes", regardons le graphique ci-dessous.

Par cette petite experience, nous avons démontré que l'authentification par login et mot de passe n'est pas une méthode de protection suffisante. Afin de mieux protéger notre serveur ssh contre ces cyberattaques, la méthode des clefs et/ou deuxième facteur d'authentification sera le meilleur choix. Il est également dangereux d'autoriser le login "root" dans la configuration du serveur..

• Activité post-compromise

Certains attaquants vont essayer de détourner "notre serveur" afin de s’en servir de relais pour mener des actions cybercriminelles et malveillantes, voler nos données, ou tout simplement, utiliser nos ressources pour miner la crypto-monnaie. Ces attaques sont de plus en plus fréquentes et ça arrive plus souvent qu'on y croit. Ce ne sont pas que de grandes entreprises qui sont visées. Nous allons voir ce que les attaquants espèrent d'obtenir en s'attaquant à notre "serveur". La plupart d'attaques provient des divers réseaux botnets. Le problème de ces attaques est la saturation de la bande passante du serveur, parce que nous utilisons les mots de passe assez forts. Nous allons voir ici, les autres types des intrusions et tentatives de détournement du système. Penser que "lorsqu'on a rien à cacher, on ne sera pas ciblé " - est une fausse idée reçue. Tout le monde est concerné et non seulement des grands entreprises. La seule difference est que dans le cas d'une grande entreprise, les problèmes des cyberattaques qui les ont touchées, étaient immédiatement médiatisé...
Nous devons être conscients que le serveur ssh sert à administrer notre machine. C'est une raison suffisante pour qu'il soit particulièrement bien sécurisé.

Le graphique du dessous montre une activité post-compromise journalière. Il prends en compte le nombre d'intrusions pour chaque jour de fonctionnement du honeypot. Ici il s'agit des véritables tentatives de prise de contrôle de notre "serveur".

Le tableau ci-dessous montre les dix commandes "passwd et chpasswd" utilisées par les attaquants affin de modifier le mot de passe et prendre le contrôle totale de notre serveur et par la même occasion, nous empêcher d'y accèder.

Le tableau suivant affiche les dix commandes le plus fréquemment utilisées par les attaquants. Cela sert à effectuer un repèrage simplifié. Remarquez que beaucoup de commandes, ce sont celles qui indiquent le type du processeur utilisé et la quantité de la mémoire installée, ce qui est très utile pour installer un crypto-miner (monnaie viruelle). En installant un crypto-miner, le cybercriminel utilisera les ressources de la machine cible pour miner de l'argent virtuel pour sa part à l'insu de son propriétaire legitime. Cela se traduira par la surcharge du processeur (donc une surconsommation électrique), la surchauffe et le rallentissement considérable de la machine infectée. Dans le cas d'installation d'un autre malware, comme par exeple un backdoor, il pourra alors contrôler la machine infectée en la transformant en relais pour relayer les cyberattaques ou mener d'autres activités cybercriminelles.

Le tableau du dessous affiche dix dernières commandes wget et execution des scripts. Il s'agit bien des malwares que les attaquants tentent de nous faire télécharger afin de les installer dans notre système. Ces malwares pouraient être des backdoors, comme aussi des crypto-miners. Puisqu'avant d'executer un script sur notre système, l'attaquant doit procéder à son télechargement et comme il arrive assez souvent que c'est la même ligne de commande dans un terminal, nous les avons mis dans le même tableau.

Voilà, notre petite "visite guidée" touche à sa fin. Soyez prudents et ne négligez pas les risques cyber. La cybermenace est bien réelle et les attaquants ne seront jamais gentils avec vous.