Le terme "Honeypot" signifie « pot de miel » en français. En informatique, il désigne une méthode utilisée dans le domaine de la détection d'intrusion. En effet, le principe du « pot de miel » est d'attirer les pirates (abeilles) dans notre système (pot de miel) dans le but d'améliorer la sécurité globale d'un futur système en production. En clair, on met à contribution les pirates pour une juste cause ^^.
Un administrateur pourra améliorer la sécurité de son système en collectant un grand nombre d'informations. L' honeypot va surveiller l'activité du pirate, sauvegarder les fichiers logs, et enregistrer chaque évènement comme le lancement des processus, la compilation et les opérations sur les fichiers. Outre que d'améliorer la sécurité de son système, ces données rassemblées peuvent être utilisées pour poursuivre en justice le pirate en question. De plus, certaines écoles mettent en place ce type de système à titre pédagogique en « défiant » les élèves à trouver et profiter des failles du système.
note: En complément de notre honeypot, il est recommandé d'analyser le trafic réseau entrant et sortant de notre système afin d'avoir une vision plus précise des actions du pirate.

Comment attirer un pirate vers notre système ?
Attirer un pirate vers notre système revient à créer un système d'exploitation non sécurisé ou présentant de nombreuses vulnérabilités qui permettent un accès facile aux différentes ressources. Au sein de notre architecture réseau, on doit trouver un compromis dans le placement de l'honeypot. Celui-ci doit se placer à proximité des serveurs de production sans pour autant exposer inconsciemment notre réseau interne.On place donc généralement notre machine leurre dans une zone DMZ.
![]()

Cette proximité permettrait aussi une configuration pour détecter aussi une intrusion sur les serveurs de production. La configuration s'effectuera ainsi : on émule des services de non-production sur des serveurs de production et on redirige toutes les demandes de ces services vers l'honeypot. Puisque ces services ne devraient pas être utilisés, l'honeypot va créer une alerte (log l'incident).
Une autre astuce serait d'attribuer à notre honeypot une adresse IP comprise entre la première et la dernière adresse IP des serveurs de production (comme dans le schéma 1). Cela s'avérait utile dans le cas d'un scanne réseau du pirate dans sa recherche aux services vulnérables.
Comment récolter un maximum d'informations ?
En premier lieu, pour récolter et obtenir des informations de qualité, il faut une fois de plus « berner » le pirate, ne pas lui montrer que notre système est un honeypot. Pour cela, le système doit présenter toutes les caractéristiques d'un serveur en production. Cela implique donc la création de faux répertoires, de faux fichiers, etc.
En second lieu, suivant le type d'honeypot que l'on a installé, la quantité et la qualité d'informations récoltées ne sont pas la même.
À ce jour, il existe deux types d'honeypot :
- Les honeypots à faible interaction.
- Les honeypots à forte interaction.
Nous alons donc voir dans la suite la différence entre ces deux types d'honeypot et leur mise en oeuvre.