Principe de fonctionnement

Canarytokens est un service qui génère des jetons de leurre (URL, enregistrements DNS, documents, etc.). Chaque jeton possède une valeur unique stockée côté serveur. Lorsqu’un acteur malveillant interagit avec le jeton – par exemple en ouvrant un fichier PDF contenant une image distante – le serveur détecte la requête et envoie une notification à l’administrateur, généralement par e‑mail ou webhook. Le mécanisme repose sur l’observation d’une action inattendue dans un environnement supposé inactif.

Architecture et types de jetons

L’infrastructure se compose d’un front‑end web qui accepte les requêtes HTTP, d’un module de traitement qui associe chaque requête à un identifiant de jeton, et d’un système de messagerie qui délivre l’alerte. Les jetons peuvent être classés en trois catégories principales : URL (requêtes GET), DNS (résolution d’un nom de domaine unique) et document (balises HTML ou images intégrées). Chaque catégorie utilise le même principe d’identification, mais diffère par le protocole d’interaction, ce qui permet de couvrir un large spectre de vecteurs d’intrusion.

curl https://example.com/unique-token-12345

Dans cet exemple, la simple exécution de la commande curl suffit à activer le jeton et à générer l’alerte correspondante.

Déploiement et bonnes pratiques

Le service est accessible via une interface web où l’on crée le jeton, on indique le canal de notification et on copie le code généré dans l’environnement cible. Il est recommandé d’insérer les jetons dans des répertoires ou des fichiers qui ne sont pas censés être consultés régulièrement, afin de maximiser la probabilité de détection d’une activité non autorisée. L’utilisation de plusieurs jetons de types différents augmente la couverture, car un attaquant qui ne déclenche pas un jeton URL pourrait néanmoins résoudre un enregistrement DNS.

Limites et risques

Canarytokens ne protège pas directement les systèmes ; il ne fait qu’avertir d’une compromission éventuelle. Si l’attaquant détecte le jeton, il peut le désactiver ou le contourner, réduisant ainsi l’efficacité du dispositif. De plus, la dépendance à un service externe implique un point de confiance : la disponibilité du serveur de notification est cruciale, et toute interruption peut masquer des incidents. Enfin, l’envoi d’alertes par e‑mail peut générer des faux positifs si des processus légitimes accèdent aux jetons, ce qui nécessite un filtrage attentif.