Blue team : SIEM Wazuh relié à des honeypots

Contexte

Projet de fin de Bachelor 3 Cybersécurité à Ynov Nantes, en équipe de trois. Le commanditaire fictif, CyberFactory SAS, est une PME industrielle de 85 salariés, sous-traitante de rang 1 pour l'aéronautique. Elle n'a aucune PSSI et son réseau bureautique communique librement avec l'atelier d'usinage à commande numérique. Ce qu'il faut protéger : les plans CAO, qui sont sa propriété intellectuelle, et les programmes d'usinage .NC, dont dépend la production.

Une analyse EBIOS RM a servi de point de départ. Elle a fait ressortir trois scénarios : l'espionnage industriel, le ransomware opportuniste et le sabotage interne d'un programme .NC.

Mon rôle

Le projet était découpé en trois lots. J'ai pris le réseau et le SIEM :

• l'architecture VMware et la segmentation réseau ;
• le pare-feu OPNsense, c'est-à-dire les interfaces, les VLAN et les règles de filtrage ;
• le déploiement de Wazuh (Manager, Indexer, Dashboard et agents) ;
• la rédaction de la PSSI et de l'analyse de risques EBIOS RM.

Architecture réseau

OPNsense découpe l'infrastructure en trois zones, une par VLAN, avec un filtrage explicite et un blocage par défaut de tout le reste.

• La DMZ (VLAN 10) héberge les honeypots et reste exposée sur Internet volontairement.
• La zone de production (VLAN 20) contient le site Apache2 et la base MariaDB.
• La zone SOC (VLAN 30) héberge Wazuh et n'est jamais joignable depuis Internet.

La DMZ est complètement coupée du LAN. Elle ne peut parler qu'à l'Indexer Wazuh, et seulement sur les ports de l'agent (1514 et 1515). La maintenance du prestataire passe par un VPN IPsec/SSL.

Les honeypots

Deux leurres qui se complètent, chacun dans son conteneur Docker pour qu'une compromission ne touche ni l'hôte ni l'autre service.

Cowrie imite un serveur SSH et Telnet : il enregistre les identifiants essayés et toutes les commandes tapées. Dionaea imite plusieurs protocoles (SMB, FTP, MySQL) et récupère surtout les tentatives d'exploitation automatiques et les malwares qui se propagent seuls.

cloud-init génère des clés SSH d'hôte uniques pour que la machine ait l'air vraie. Sur un honeypot, la moindre connexion est déjà suspecte.

SIEM Wazuh

Wazuh regroupe tous les logs et fait à la fois SIEM, détection d'intrusion sur les hôtes, inventaire et audit de configuration, dans un seul outil open source (Manager, Indexer, Dashboard).

Un agent est installé sur chaque VM, honeypot compris, pour remonter les logs, le FIM et le SCA. Comme Wazuh ne comprend pas les logs de Cowrie et Dionaea nativement, j'ai écrit des décodeurs et des règles maison, avec une gravité qui augmente à chaque étape d'une attaque : connexion, puis échec d'authentification, puis exécution de commande. Le FIM surveille en priorité les fichiers critiques (plans CAO, .NC) et le SCA passe chaque semaine sur le benchmark CIS Ubuntu.

Scénarios détectés

Trois attaques rejouées et suivies dans Wazuh du début à la fin.

1. Intrusion SSH : connexion avec des identifiants par défaut sur Cowrie. L'alerte arrive tout de suite côté SOC, avec l'IP source et les identifiants essayés.
2. Exploitation SMB : une tentative sur une faille SMB captée par Dionaea, classée en alerte critique, avec la chronologie reconstituée.
3. Sabotage : la modification non prévue d'un programme .NC en production, repérée en temps réel par le FIM.

Durcissement et continuité

• MariaDB : suppression des comptes anonymes, un utilisateur applicatif limité au strict nécessaire, buffer pool InnoDB ajusté.
• Système : SSH par clé seulement, fail2ban, suppression des services inutiles, en s'appuyant sur les référentiels CIS et ANSSI.
• Continuité : la sauvegarde de la base a été testée pour de vrai, en supprimant une table puis en la restaurant entièrement depuis le dump.
• Une procédure de chain of custody pour que les preuves numériques restent recevables.

Bilan

Au final, une chaîne de détection et de réponse complète sur une stack entièrement open source, soit environ 15 000 € par an économisés face à un EDR du marché, et un risque résiduel ramené à un niveau acceptable au sens d'EBIOS RM. Les points les plus durs : écrire les décodeurs Wazuh pour Cowrie et Dionaea, régler l'étanchéité entre les zones sur OPNsense, et faire tenir sur une même VM des conteneurs qui exposent chacun des ports système.