PROJET PERSONNEL

Honeypot SSH/Telnet avec Cowrie

Simulation d'intrusion et analyse forensique sur un lab cybersécurité isolé

Contexte

Ce projet fait partie d'un lab cybersécurité personnel construit sous VMware Workstation Pro, avec une machine attaquante (Kali Linux) et une machine cible (Debian) isolées sur un réseau virtuel dédié (VMnet2), sans accès au réseau de production ni à Internet.

L'objectif : déployer un honeypot SSH/Telnet (Cowrie) sur la machine cible, simuler une attaque par force brute depuis la machine attaquante, puis analyser en détail les traces laissées par l'attaquant.

Objectifs

Déployer et configurer Cowrie pour émuler un service SSH vulnérable, avec redirection du vrai service SSH vers un port non standard.
Mener une attaque par force brute réaliste (Hydra) contre le honeypot depuis la machine attaquante.
Extraire et analyser les journaux JSON générés par Cowrie (commandes tapées, tentatives de téléchargement de fichiers).
Documenter intégralement la démarche, y compris les incidents rencontrés, dans une base de connaissance Notion.

Déroulé du projet

1
Mise en place du honeypot
Installation de Cowrie sur la cible, redirection iptables du port 22 vers le honeypot et du vrai service SSH vers le port 2200, persistance des règles via iptables-persistent.
2
Incident majeur : perte d'accès à la machine attaquante
Verrouillage du mot de passe de Kali Linux sans snapshot de secours exploitable. Décision de réinstaller entièrement la VM à partir de l'image officielle plutôt que de tenter une récupération incertaine.
3
Attaque par force brute
Lancement d'Hydra contre le honeypot. Première tentative en échec (parallélisme par défaut trop élevé pour l'implémentation Twisted de Cowrie), corrigée en réduisant le nombre de tâches parallèles.
4
Analyse forensique des logs
Extraction des événements JSON avec jq : commandes tapées par l'attaquant simulé, tentatives de téléchargement de fichiers, reconstitution de la session complète.

Résultats

Mots de passe compromis: 3 / 3 testés
Commandes attaquant capturées: 17
Tentatives de téléchargement de fichiers: 0 (bloquées, cible isolée)
Snapshots de restauration: 2 (cible + attaquant)

Gestion d'incident

Le point le plus formateur du projet n'était pas prévu au départ : une erreur de manipulation a verrouillé l'accès à la machine attaquante, sans snapshot exploitable pour revenir en arrière.

Plutôt que de perdre du temps sur une récupération incertaine (mode recovery GRUB infructueux), le choix a été de réinstaller entièrement la VM depuis l'image officielle Kali, de restaurer la configuration réseau et les outils nécessaires, puis de reprendre l'attaque planifiée. Cet incident est documenté en détail dans le journal du projet, avec la chronologie complète et les commandes de remédiation.

Stack et outils

Kali Linux (machine attaquante) et Debian (cible), sous VMware Workstation Pro 17
Cowrie (honeypot SSH/Telnet, déploiement Python via pip)
Hydra (attaque par force brute)
iptables / iptables-persistent (redirection de ports, persistance des règles)
jq (extraction et analyse des logs JSON)

Captures d'écran