LA DÉFENSE PAR LA RUSE
Un service factice, un chemin-piège, un document qui signale son ouverture. RookGuard place des points de contact sans usage métier légitime pour révéler une activité hostile et déclencher une réponse documentée.
220 (vsFTPd 3.0.5)Votre service métier220 (vsFTPd 3.0.5)Votre leurre RookGuardUne bannière semblable.
Un contact qui n’a pas de raison métier.
Schéma de principe · noms de machines illustratifs.
01 / CE QUE VOIT L’ATTAQUANT
Basculez entre les deux points de vue, puis sélectionnez un service. Côté attaquant, les surfaces ont une apparence ordinaire. Côté défenseur, vous savez précisément où les leurres ont été placés.
02 / PLUSIEURS FAÇONS DE CAPTURER LE CONTACT
Serveur web, FTP, bureau à distance ou partage de fichiers : le leurre imite une surface crédible, isolée de l’infrastructure métier réelle.
Son apparence reprend des bannières et des services connus. Votre cartographie distingue les actifs réels et les surfaces factices, dans les segments où elles sont déployées.
EXPLORATION DU PARCDes chemins réservés aux pièges sont placés là où une exploration hostile peut les rencontrer. Ils servent de points de contact sans parcours métier légitime.
Ces chemins sont propres à l’organisation. Leur exposition et leur renouvellement comptent : un piège connu perd une partie de sa valeur.
EXPLORATION WEBFaux dumps, faux identifiants, faux RIB ou faux rapports : le leurre peut contenir des documents crédibles, sans livrer vos données réelles.
Certains fichiers embarquent une balise passive. Leur ouverture peut produire une nouvelle capture, même après leur sortie du réseau.
APRÈS L’EXFILTRATIONLes fichiers-appâts, associés à l’analyse du comportement d’écriture, permettent de déclencher le gel du processus fautif et l’isolation réversible. Les appâts sont à configurer avec les exclusions des outils légitimes.
03 / LE BUTIN EMPOISONNÉ & LA BALISE
Le leurre sert un faux butin. Le fichier balisé peut signaler son ouverture, même après sa sortie du réseau. RookGuard relie ce retour à une capture, à une preuve et, lorsque les conditions sont réunies, à la défense collective.
Des entrées cohérentes, fabriquées pour le piège. Aucune donnée client réelle.
Un contenu crédible.
Votre information réelle reste à l’écart.
Dumps, identifiants, rapports ou RIB sont factices. Les documents balisés prolongent le mécanisme du leurre au-delà du réseau où ils ont été servis.
LA CAPTURE NE SUFFIT PAS À DÉSIGNER UN ATTAQUANT.
Une adresse de sortie, un proxy ou une ouverture légitime peuvent apparaître dans le retour. L’origine et les exclusions déterminent la suite.
Une origine attestée et une menace confirmée peuvent conduire au blocage et à la diffusion d’un indicateur éligible. Les ordres sont signés ; les listes blanches et la réversibilité restent applicables.
Comprendre le Bouclier collectif ↗Le mécanisme observe un retour de fichier ; il n’identifie pas nécessairement une personne et ne garantit pas un retour à chaque ouverture. L’outil est déduit des éléments reçus. Le blocage concerne le périmètre géré et les agents éligibles, selon le mandat.
04 / DU CONTACT À LA DÉFENSE COLLECTIVE
Le leurre apporte un signal. Arthur replace ce signal dans son mandat ; les mesures sont documentées et les indicateurs éligibles peuvent enrichir le Bouclier collectif.
Le contact, sa surface, son origine attestée et son contexte sont enregistrés.
Le blocage ou la quarantaine s’appliquent selon le mandat et les règles de sécurité. La mesure reste réversible.
L’événement et la décision rejoignent le journal chaîné ; l’horodatage tiers documente la trace.
Un indicateur confirmé et éligible peut être propagé au parc, sans partager les données métier de l’organisation.
05 / PRÉSERVER VOTRE ACTIVITÉ LÉGITIME
Les services factices sont séparés des applications et données de production. Ils présentent une apparence crédible sans ouvrir un accès à vos informations métier.
Vos équipes, scanners autorisés, sauvegardes et indexations doivent être pris en compte. Le principe de détection repose sur l’absence d’usage légitime du point de contact.
Une adresse annoncée dans un en-tête n’est pas une preuve suffisante. La liste blanche et la provenance de l’adresse observée sont vérifiées ; un relais inconnu n’est pas propagé au collectif.
Les mesures de contention sont tracées et réversibles. Les décisions sensibles passent par Arthur et par votre arbitrage, selon le mandat défini.
Leurres actifs, canaris, butin factice, balises d’exfiltration et Gardien des fichiers.
Comparer les offres ↗DES LEURRES SUR VOTRE PÉRIMÈTRE RÉEL