Partenaire privilégiéTrapster — Deceptive Security, avec Ballpoint
Détectez l’attaquant
Quand il commence à chercher.
Trapster déploie des leurres crédibles au cœur de votre réseau : services, machines et comptes factices qu’aucun usage légitime ne devrait toucher.
Toute interaction avec un leurre est un signal fort, presque sans faux positif. Ariovis conçoit le scénario de déception à partir de votre réalité d’identités et intègre les alertes dans votre chaîne de détection et de réponse.
- Trapster est édité par Ballpoint.
- Ariovis intervient sur le cadrage identité, le déploiement et l’exploitation.
Ariovis × Ballpoint
Trapster est une solution de Deceptive Security éditée par Ballpoint, société française de sécurité offensive. Ariovis n’édite pas Trapster.
Ariovis apporte la lecture identité : où placer les leurres, quels comptes imiter, quels chemins d’attaque piéger, et comment traiter les alertes une fois qu’elles arrivent.
Le principe : rendre le silence détectable.
La plupart des dispositifs cherchent à reconnaître une attaque parmi un flot d’activité légitime. La déception inverse la logique : elle crée des objets qui n’ont aucune raison d’être touchés.
Un attaquant qui découvre l’environnement, énumère l’annuaire ou teste des identifiants finit par toucher un leurre. À cet instant, il se signale — sans qu’aucune signature ni corrélation ne soit nécessaire.
Attirer
Des services, machines et comptes réalistes sont déployés là où un attaquant regarde en premier.
Signaler
Toute interaction est anormale par construction : le taux de faux positifs est structurellement très bas.
Réagir
L’alerte est qualifiée, reliée à une identité, à une machine et à un chemin d’attaque, puis traitée dans vos processus existants.
Pourquoi la déception a du sens sur le terrain de l’identité
Une intrusion moderne passe rarement par une faille spectaculaire. Elle passe par des identités : un compte valide, un droit oublié, un secret réutilisé.
- Un attaquant commence presque toujours par énumérer l’annuaire
- Il cherche des comptes de service, des partages et des machines mal protégés
- Il teste des identifiants récupérés ailleurs
- Il cherche un chemin d’élévation vers un compte à privilèges
- Ces actions ressemblent souvent à de l’activité d’administration légitime
Cas d’usage
La déception ne remplace pas la sécurisation des identités : elle la complète en donnant une visibilité sur ce que l’attaquant tente, avant qu’il n’atteigne un actif réel.
Active Directory et réseau interne
- Détecter l’énumération de l’annuaire
- Piéger les chemins d’élévation vers les comptes sensibles
- Repérer les mouvements latéraux
- Surveiller les partages et machines faussement attractifs
Comptes à privilèges
- Faux comptes d’administration et faux comptes de service
- Faux secrets et faux accès hors PAM
- Détection des tentatives de contournement du coffre
Environnements sensibles et hérités
- Périmètres industriels ou legacy peu instrumentables
- Zones où l’on ne peut pas déployer d’agent
- Segments réseau isolés
Après un pentest ou un incident
- Instrumenter les chemins d’attaque démontrés
- Vérifier qu’ils ne sont plus empruntés
- Conserver une capacité de détection dans la durée
Comment cela se met en place
- 1
Cadrer le scénario
Ariovis identifie les identités, les zones réseau et les chemins d’attaque à instrumenter, en cohérence avec votre modèle d’habilitation et vos comptes à privilèges.
- 2
Déployer les leurres
Les services, machines et comptes factices sont déployés avec Trapster de façon à rester crédibles pour un attaquant et invisibles pour les usages légitimes.
- 3
Brancher la détection
Les alertes sont intégrées à vos outils : SIEM, SOC, supervision ou processus internes de réponse.
- 4
Exploiter dans la durée
Ariovis accompagne la qualification des alertes, l’ajustement des leurres et l’articulation avec les remédiations identité.
Les modalités techniques, les capacités et les conditions commerciales de la solution relèvent de Ballpoint.
Qui fait quoi ?
Ballpoint
Éditeur de Trapster
- Édition et évolution de la solution
- Capacités de leurre
- Moteur de détection
- Documentation produit
- Conditions commerciales
- Support éditeur
Ariovis
Scénario identité, intégration et exploitation
- Cadrage du scénario de déception
- Choix des identités et chemins à piéger
- Cohérence avec l’Active Directory, l’IAM et le PAM
- Intégration dans la chaîne de détection
- Qualification et traitement des alertes
- Articulation avec la remédiation
- Transfert de compétences
Ballpoint fournit la capacité de déception.
Ariovis la branche sur votre réalité d’identités et sur vos processus.
Ce que la déception ne remplace pas
Trapster est un dispositif de détection. Il ne se substitue pas aux fondations de la sécurité des identités.
Ce n’est pas un antivirus ni un EDR
La déception détecte un comportement d’exploration, pas un binaire malveillant.
Ce n’est pas une gouvernance des identités
Elle ne corrige ni les droits excessifs, ni les comptes orphelins, ni les processus JML.
Ce n’est pas un PAM
Elle n’élimine pas les privilèges permanents ni les secrets exposés.
La déception prend toute sa valeur quand les fondations sont en cours de traitement : elle donne de la visibilité sur ce qui se passe pendant que la surface d’attaque se réduit.
Questions fréquentes
Qui édite Trapster ?
Trapster est édité par Ballpoint. Ariovis n’édite pas la solution : nous intervenons sur le cadrage du scénario de déception, l’intégration, l’exploitation des alertes et la remédiation identité associée.
Est-ce que cela génère beaucoup de faux positifs ?
Le principe même de la déception limite les faux positifs : les leurres n’ont aucun usage légitime, donc toute interaction est anormale par construction. Le travail de cadrage consiste à éviter qu’un outil interne ou un scan d’inventaire ne les touche par accident.
Faut-il déjà avoir un SOC ou un SIEM ?
Ce n’est pas obligatoire. Les alertes peuvent être routées vers vos outils existants ou vers un processus de traitement plus simple, défini avec vous lors du cadrage.
Peut-on démarrer par un périmètre limité ?
Oui. Un premier scénario ciblé — par exemple l’Active Directory et les comptes à privilèges — permet de mesurer la valeur avant d’étendre le dispositif.
Quel lien avec un pentest ?
Les deux se complètent : un pentest démontre les chemins d’attaque exploitables, la déception permet ensuite de détecter quand quelqu’un tente de les emprunter réellement.
Voir l’attaquant avant qu’il n’atteigne un actif réel.
Construisons ensemble un scénario de déception aligné sur vos identités, vos comptes à privilèges et vos chemins d’attaque réels.