CISA publie un guide pour piéger les attaquants déjà entrés dans le réseau

16 septembre 2026. La CISA publie « Using Cyber Decoys to Strengthen Detection and Response », son premier guide consacré aux leurres cyber à destination des opérateurs d’infrastructures critiques. Le même jour. Chris Butera, directeur exécutif par intérim de la division cybersécurité, présente les leurres comme « une façon à très faible coût mais à haute fidélité de détecter un adversaire qui a déjà accès au réseau ». Septembre 2026. Le document de 22 pages formalise des concepts — tripwires, breadcrumbs, honeytokens — que les équipes matures pratiquent depuis des années. Pourquoi c’est important : la détection classique échoue face aux attaquants qui se déplacent avec des identifiants valides et des outils natifs, et la CISA répond avec une arme que chacun peut fabriquer soi-même.

Le problème que la détection ne voit pas

La détection moderne s’est construite autour d’une promesse : un attaquant laisse une signature. Un hash malveillant, une connexion vers une adresse connue, un outil inhabituel. Or les campagnes les plus dommageables de ces dernières années s’appuient précisément sur l’inverse : des identifiants légitimes, des outils natifs du système et des techniques LOTL (living off the land) qui n’ont aucune signature propre.

Un attaquant qui se connecte avec un vrai compte Active Directory, qui utilise PowerShell ou wmic pour la découverte, puis RDP pour se déplacer latéralement, ne déclenche presque rien. Il ressemble à un administrateur. C’est ce point aveugle que les leurres attaquent : au lieu de chercher une signature, on place un appât qui n’a aucune raison légitime d’être touché, et toute interaction devient un signal.

Chris Butera le formule directement : « nous pensons que les leurres peuvent être à la fois très peu coûteux et en réalité très fidèles pour détecter un adversaire qui a déjà accédé aux réseaux ». Le mot important est « fidèle » : un leurre bien conçu ne produit pas de faux positifs, parce que personne, dans l’usage normal, n’a de raison d’y toucher.

Ce que le guide définit

Le document distingue trois familles de leurres, que l’on confond souvent à tort :

• Les tripwires : des actifs placés comme des fils de déclenchement, dont l’accès provoque une alerte immédiate. Leur valeur est la pureté du signal — un accès n’a aucune justification légitime.
• Les breadcrumbs : des indices volontairement laissés (un identifiant dans une mémoire de configuration, une référence dans un script) pour conduire l’attaquant vers un leurre. Ils transforment la découverte de l’adversaire en un chemin balisé.
• Les honeytokens : la définition de la CISA mérite d’être citée — « des éléments de données ou des objets logiques sans usage métier légitime (par exemple de faux enregistrements, identifiants ou fichiers) placés pour détecter un accès non autorisé ou une exfiltration. Toute interaction suggère fortement une activité malveillante ou non autorisée. »

Le guide ancre le tout dans deux référentiels déjà connus des équipes : MITRE Engage, le pendant offensif de l’adversary emulation, et MITRE ATT&CK, pour relier chaque leurre à la technique qu’il est censé détecter. Le fil conducteur est l’hypothèse de compromission : on suppose que l’attaquant est déjà là, et on aménage le terrain pour qu’il se signale.

Pourquoi la CISA parle aux infrastructures critiques

Le choix de l’audience n’est pas anodin. Le guide s’adresse en priorité aux opérateurs d’infrastructures critiques, et Butera assume le ciblage économique : ces organisations « n’ont pas toujours le personnel ni le budget » d’une grande entreprise. Un honeypot commercial, une plateforme de deception ou une équipe de threat hunting dédiée sont hors de portée de beaucoup d’entre elles.

La réponse de la CISA tient en une phrase : « vous pouvez créer vos propres honey tokens vous-même. » Le guide vise à rendre la technique accessible à une équipe de toute taille et de toute maturité, sans dépendre d’un éditeur. C’est un positionnement rare pour une agence : plutôt que d’imposer un produit, elle documente une pratique que l’on peut mettre en œuvre avec les moyens du bord.

Le lien avec le Zero Trust est explicite. Un modèle Zero Trust part du principe qu’aucun utilisateur ni appareil n’est digne de confiance par défaut ; les leurres en sont le complément naturel, puisqu’ils fournissent le contrôle continu que le modèle exige — une vérification permanente, pas une vérification à l’entrée. La CISA liste quatre bénéfices directs : soutenir la surveillance continue, produire des alertes à haute fidélité, réduire la fatigue d’alerte, et détecter l’activité post-compromission, y compris les techniques LOTL.

Par où commencer sans plateforme

Le guide n’exige pas de budget. La première brique rentable est le honeytoken, parce qu’elle se déploie en quelques heures et ne demande aucun matériel :

• Un faux compte dans l’annuaire, jamais utilisé, avec des droits qui paraissent intéressants mais sont en réalité isolés. Toute tentative de connexion est un signal d’intrusion.
• Un fichier appât — un faux « liste de mots de passe » ou « sauvegarde de configuration » — posé sur un partage, dont toute ouverture déclenche une alerte.
• Une fausse entrée DNS pointant vers un leurre, pour détecter le reconnaissance interne.
• Un identifiant de base de données factice, injecté dans un champ qui ne devrait jamais être lu.

La règle qui fait tenir l’ensemble : le leurre ne doit avoir aucun usage légitime. Dès qu’un employé a une raison de toucher l’appât, le signal se dégrade en faux positif, et la fatigue d’alerte que l’on cherchait à réduire revient. Le guide insiste sur cette discipline — un leurre mal isolé est pire qu’aucun leurre.

Ensuite seulement vient le déploiement de leurres de système plus lourds : une machine virtuelle qui ressemble à un serveur de fichiers, un service SMB ou RDP apparent, un poste de travail fantôme dans le parc. Là, l’équipe bascule de la détection passive à la collecte de renseignement sur les menaces : observer ce que l’attaquant cherche, quelles commandes il lance, d’où il vient. C’est le même principe que le honeypot exposé sur Internet, appliqué à l’intérieur du réseau.

Verdict

Si vous n’avez aucune capacité de détection post-compromission, commencez cette semaine par des honeytokens faits maison — un faux compte, un fichier appât, une fausse entrée DNS — et reliez leurs alertes à votre canal d’incident existant. C’est le meilleur rapport signal/coût de tout le guide, et la CISA le recommande explicitement aux organisations à budget contraint. Si vous avez déjà des leurres ponctuels, le guide vaut une lecture pour deux raisons : la discipline du « zéro usage légitime », et le mapping MITRE Engage qui transforme des appâts isolés en une stratégie cohérente. Si vous avez déjà une plateforme de deception commerciale, le document reste utile comme référence partagée avec les équipes qui n’en ont pas — et comme rappel que la valeur vient de la rigueur du placement, pas du prix de l’outil.

Références

• CISA — Using Cyber Decoys to Strengthen Detection and Response (PDF)
• CISA — Page ressource « Using Cyber Decoys to Strengthen Detection and Response »
• CyberScoop — CISA promotes a fresh way to deter cyberattackers: Lie to them
• MITRE Engage — Starter Kit
• CISA — Identifying and Mitigating Living Off the Land Techniques