Piégez l’attaquant
avant qu’il n’avance.
VM honeypot déployée à l’intérieur du LAN. 14 services leurres (SSH, RDP, SMB, faux Veeam, MSSQL…) qui détectent immédiatement le mouvement latéral — souvent 14 jours avant que le ransomware ne touche les vrais serveurs.
Personne n’a de raison légitime de se connecter à un faux serveur de backup ou à une fausse base SQL. HoneyPot pose 14 leurres crédibles dans le LAN — banner Veeam, partages Samba compta/RH, MSSQL avec logs, RDP au bon hostname, dashboard « BackupServer » avec 200 jobs simulés. Au premier contact : alerte critique. Le SOC voit le mouvement latéral en cours, isole le poste source et déclenche un playbook — avant que le ransomware démarre.
De la menace à la preuve, en temps réel.
Le module capte le signal, SYLink AI le corrèle et décide — vous gardez la main.
La technologie, en détail.
Ce que le module fait réellement — pas des promesses, des fonctions.
14 services leurres
- SSH (Cowrie) + Telnet
- RDP (xrdp + recorder)
- SMB (Samba compta / info / RH / Direction)
- FTP + 193 fichiers canary UUID
- MSSQL + MySQL + PostgreSQL + Redis + VNC
- Veeam fake (HTTPS) + HTTP honeytrap (25 routes piégées)
Détection
- Toute connexion SSH/RDP/SMB sur la VM = suspecte
- Capture des identifiants tentés
- Commandes exécutées (whoami, net user…)
- Fingerprint HASSH du client SSH
- Inotify sur les fichiers canary (lecture / copie)
- Spoof OS Windows (TTL=128) pour tromper les scanners
Pilotage SYLink AI
- Triage automatique (critique / high / medium)
- Reconstruction du chemin attaquant (source → leurre)
- Cross-corrélation DPI (qui a parlé au leurre ?)
- Cross-corrélation EDR (quel processus sur la source ?)
- Génération auto de playbook SOAR
Licence & robustesse VM
- Fingerprint matériel (UUID + machine-id + MAC)
- Lock mode si licence absente
- Token d’enrôlement signé HMAC
- Activation par QR + auto-affectation tenant
- Révocation à distance = lock immédiat
Threat intel locale
- IPs attaquantes propagées dans unified_iocs
- Si l’attaquant frappe ailleurs → alerte tenant
- Détection scan / DDoS / SYN-flood
- Analyse des boot events
- Watchdog SOC : VM down → rejeu des événements
Boucle SOAR
- Auto-block IP → pare-feu tenant + DPI
- Rotation de la userdb Cowrie
- Escalade analyste en mode high
- Régénération des fichiers leurres
- TCP Reset traçable jusqu’à l’endpoint
Concrètement, ça sert à quoi ?
Détecter un attaquant déjà dans le LAN
Le ransomware se prépare en 7-14 jours par mouvement latéral. HoneyPot détecte la première tentative SMB sur le faux backup → alerte 14 jours avant le chiffrement.
Tromper les scanners
Un attaquant lance nmap : la VM répond Windows Server, Veeam, MSSQL, RDP. Il perd 30 minutes sur un faux serveur — le temps que le SOC réagisse.
Capturer les credentials latéraux
Un script tente psexec avec admin/admin1234. Cowrie capture les identifiants → le SOC sait quel compte est compromis ailleurs.
Threat intel propagée
L’IP attaquante est ajoutée aux feeds CTI internes. Si elle réapparaît sur le DPI ou l’EDR, alerte instantanée. Une détection alimente toute la chaîne.
Piloté par SYLink AI, hébergé 100 % en France (HDS v2), sans dépendance au Cloud Act. Chaque décision est tracée et opposable NIS2 & DORA.
Une brique du SOC — jamais isolée.
Chaque module alimente les autres via SYLink AI.
Prêt à voir ce qui se passe
vraiment sur votre réseau ?
Premier essai gratuit, sans carte bancaire, sans engagement. Sur votre infrastructure existante.