GuardPot
GuardPot remplit le réseau de leurres qu'un attaquant ne peut pas distinguer du vrai, si bien qu'y toucher est en soi l'alerte.
L'alternative
Thinkst Canary d'un côté, petit et peu nombreux. Attivo (désormais SentinelOne) et Acalvio de l'autre, des plateformes complètes avec un projet de déploiement attaché.
En bref
- Livraison
- Systèmes, services et comptes leurres. Rien d'installé sur les machines de production
- Modules
- Gestion des leurres, détection en temps réel, analyse des techniques d'attaque, production de renseignement
- Couverture
- Segments réseau, environnements cloud et postes de travail
Un utilisateur légitime n'a aucune raison d'ouvrir un système qui n'a jamais été en production. Quand un leurre signale, il ne reste rien à juger.
GuardPot porte les fonctions de plateforme, systèmes leurres, comptes leurres, services leurres, analyse du comportement de l'attaquant et production de renseignement, dans un seul produit plutôt que dans une suite.
L'argument qui compte le plus est celui du tri. Toutes les autres sources de détection remettent à un analyste quelque chose à apprécier. Un agent de poste décide si un processus a l'air malveillant, une sonde réseau décide si un trafic a l'air inhabituel, et un SIEM corrèle les deux en quelque chose qui réclame encore un humain. Un leurre n'a ni utilisateurs ni dépendances, donc une interaction avec lui n'est pas un signal au sujet d'une intrusion. C'est l'intrusion.
Pour une équipe déjà en retard sur sa file, c'est la différence entre ajouter une source et ajouter du travail. C'est aussi l'une des rares méthodes disponibles dans un réseau industriel ou de production, où aucun agent ne peut être installé et aucun trafic ne peut être recopié.
Comment cela fonctionne
- Des systèmes, services et comptes leurres sont placés là où un attaquant regarde
- Chaque interaction avec l'un d'eux est enregistrée et analysée
- Les techniques tentées et la direction de progression deviennent visibles
- L'activité capturée devient des indicateurs que le reste du dispositif peut utiliser
- La réponse commence avant qu'un système de production ne soit atteint
À qui cela s'adresse
- Les équipes sécurité dotées d'un SIEM et fatiguées par les alertes
- Les organisations qui ne voient pas le déplacement latéral à l'intérieur du réseau
- Les équipes qui cherchent le rançongiciel à l'étape de reconnaissance
- Les réseaux industriels et de production où aucun agent ne peut être déployé
Ce que nous pouvons montrer
- Présenté à des responsables sécurité de la région lors de l'événement animé par ICM à Dubaï, septembre 2025
Où cela se place
Leurres. C'est la couche de détection qui se place derrière la sécurité des identités, et un compte leurre est l'un des rares moyens de voir un attaquant déjà présent dans l'annuaire.