Résumé Technique : PHANTOM – Adaptation Polymorphique des Honeytokens avec Mimétisme Organisationnel Adapté au Récit

1. Énoncé du Problème

Les honeytokens — actifs numériques leurres conçus pour détecter les accès non autorisés — constituent un primitif établi dans la cyberdéception. Cependant, les outils de génération existants (par exemple, Canarytokens, HoneyBadger) reposent sur des méthodes statiques et basées sur des modèles, qui manquent de spécificité organisationnelle. Bien que ces tokens soient souvent syntaxiquement valides, ils sont sémantiquement creux. Des attaquants qualifiés et des scanners automatisés (tels que trufflehog, gitleaks et des classifieurs basés sur l'apprentissage automatique) peuvent facilement les identifier car ils échouent à imiter les noms de domaines spécifiques, les conventions de nommage des services, les idiomes de la pile technologique et les distributions de valeurs secrètes d'une organisation cible.

L'article identifie trois lacunes critiques dans les approches actuelles :

1. Absence de Contexte : Les identifiants réels sont profondément intégrés dans le contexte organisationnel (par exemple, des noms de rôles IAM correspondant à des architectures de services spécifiques), ce qui fait défaut dans les modèles génériques.
2. Le Fossé Sémantique : Les preuves empiriques suggèrent que, bien que les tokens basés sur des modèles atteignent une haute validité syntaxique, ils échouent significativement en matière de cohérence sémantique, qui est le principal différentiateur entre les identifiants réels et les leurres.
3. Résistance à la Détection : Même les tokens riches en contexte échouent si des scanners automatisés les signalent avant qu'un attaquant ne les rencontre. Les outils actuels n'évitent pas adéquatement les heuristiques de détection modernes basées sur les statistiques et l'apprentissage automatique.

2. Méthodologie : Le Cadre PHANTOM

PHANTOM (Adaptation Polymorphique des Honeytokens avec Mimétisme Organisationnel Adapté au Récit) est un cadre qui génère des honeytokens contextuellement convaincants en encodant des connaissances spécifiques à l'organisation dans un pipeline de génération multi-composants.

2.1 Profil Organisationnel

Le système fonctionne sur un Profil Organisationnel ($O$) structuré contenant :

• Noms de domaines et noms courts.
• Listes de services et types/hôtes de bases de données.
• Régions cloud et détails de l'organisation Git.
• Émetteurs et destinataires JWT.

2.2 Pipeline de Génération Contextuelle

Contrairement aux générateurs statiques, PHANTOM emploie des générateurs dédiés ($G_t$) pour huit types de tokens différents (incluant des clés AWS, des fichiers d'environnement, des JWT et des tokens de bots Slack). Le principe de conception central est l'injection de contexte au niveau de la valeur :

• Chaque champ nommé (noms d'utilisateurs IAM, noms de bases de données, noms d'hôtes Redis, URLs de dépôts Git distants) est dérivé directement du profil organisationnel.
• Le pipeline évite les appels d'API externes, garantissant qu'il peut être déployé dans des environnements isolés (air-gapped) ou classifiés.
• Conception Consciente des Scanners : Les générateurs sont explicitement conçus pour éviter trois heuristiques principales de scanners :
  • Regex/Modèle ($S_1$) : Remplace les chaînes drapeaux rouges génériques (par exemple, "example.com") par des valeurs dérivées de l'organisation.
  • Analyse d'Entropie ($S_2$) : Imité le profil d'entropie mixte des fichiers réels (secrets à haute entropie à côté de valeurs lisibles par l'homme à faible entropie) plutôt qu'une entropie uniforme élevée.
  • Classifieurs ML ($S_3$) : Intègre des empreintes spécifiques à l'organisation (domaines, noms de services) pour contrer les classifieurs entraînés à détecter un manque de contexte.

2.3 Métriques d'Évaluation

L'article formalise la qualité du token à travers un Score de Crédibilité ($B$) et un Score Composite de Honeytoken ($H$) :

• Score de Crédibilité ($B$) : Une composition pondérée de quatre composants :
  1. Validité Syntaxique ($S_v$) : Format correct pour le type de token.
  2. Cohérence Sémantique ($S_c$) : Adéquation contextuelle avec le profil organisationnel.
  3. Normalité Statistique ($S_n$) : Propriétés d'entropie et de distribution correspondant aux identifiants réels.
  4. Acceptation Humaine ($S_h$) : Fraction d'évaluateurs experts classant le token comme authentique.
• Résistance à la Détection ($DR$) : Définie comme $1 - P_d$, où $P_d$ est la probabilité de détection par un ensemble pondéré de modèles de scanners ($S_1, S_2, S_3$).
• Score Composite ($H$) : Équilibre la crédibilité et la résistance à la détection ($H = B^\lambda \cdot DR^\mu$).

3. Configuration Expérimentale

• Jeu de Données : 32 tokens PHANTOM et 32 tokens de référence basés sur des modèles générés à travers 8 types de tokens et 4 contextes organisationnels (FinTech, Santé, Défense, E-commerce).
• Référence : Un générateur de modèles statique utilisant des valeurs secrètes aléatoires mais aucun contexte organisationnel (équivalent à Canarytokens).
• Évaluation :
  • Automatisée : Trois modèles de scanners (Regex, Entropie, Classifieur ML) appliqués à tous les tokens.
  • Humaine : Des évaluateurs experts ont classé les tokens comme authentiques ou leurres.
  • Statistique : Tests t de Welch à deux échantillons avec correction de Bonferroni ; les tailles d'effet sont rapportées sous forme de $d$ de Cohen.

4. Résultats Clés

PHANTOM surpasse significativement la référence basée sur des modèles sur toutes les métriques principales :

Métrique	Référence Modèle	PHANTOM	$\Delta$	Significativité
Crédibilité ($B$)	$0.576 \pm 0.058$	$0.778 \pm 0.057$	$+0.203$	$p < 0.001$ ($d=3.52$)
Validité Syntaxique ($S_v$)	$0.842$|$0.876$|$+0.034$	Non Significatif
Cohérence Sémantique ($S_c$)	$0.396$|$0.705$|$+0.309$|$p < 0.001$($d=4.52$)
Acceptation Humaine ($S_h$)	$6.2\%$	$100.0\%$	$+93.8\%$	$p < 0.001$
**Résistance à la Détection ($DR$)** |$0.609$|$0.870$|$+0.261$|$p < 0.001$($d=7.49$)

• La Cohérence Sémantique comme Moteur : La plus grande amélioration a été observée dans la cohérence sémantique ($\Delta S_c = +0.309$), confirmant que le contexte organisationnel est l'ingrédient manquant critique. La validité syntaxique n'a montré aucune différence significative, indiquant que la correction du format est une condition nécessaire mais insuffisante pour la déception.
• Acceptation Humaine : 100 % des tokens PHANTOM ont franchi le seuil des experts humains ($B \ge 0.65$), contre seulement 6,2 % des modèles.
• Résistance à la Détection : Les tokens PHANTOM ont été significativement plus difficiles à détecter sur les trois modèles de scanners, avec l'amélioration la plus dramatique contre les classifieurs basés sur l'apprentissage automatique (la probabilité de détection est passée de 54,1 % à 16,2 %).
• Optimalité de Pareto : 100 % des tokens PHANTOM se situaient dans la "zone idéale" ($B \ge 0.70$ et $DR \ge 0.70$), tandis que seuls 6,2 % des tokens modèles y parvenaient.

5. Signification et Revendications

L'article revendique que PHANTOM aborde la limitation fondamentale de la génération actuelle de honeytokens : l'absence de spécificité organisationnelle.

• Contribution Principale : L'introduction d'un cadre formel de Score de Crédibilité intégrant les dimensions syntaxique, sémantique, statistique et humaine, démontrant que la cohérence sémantique est le moteur dominant de la qualité de la déception.
• Avantage Opérationnel : En opérant sans appels d'API externes, PHANTOM est entièrement déployable dans des environnements isolés (par exemple, réseaux gouvernementaux classifiés, systèmes de contrôle industriel) où l'accès aux API cloud est interdit, offrant un niveau de qualité comparable aux approches basées sur les LLM sans dépendance réseau.
• Impact Stratégique : Le cadre fournit le composant "appât" de haute qualité nécessaire à un pipeline complet de déception et d'attribution post-exfiltration, complétant les systèmes existants comme le Passive Hack-Back et les systèmes de réidentification longitudinale.

Les auteurs concluent que les futurs efforts visant à améliorer la qualité des générateurs doivent passer de la correction du format (validité syntaxique) à l'intégration sémantique, car cette dernière est le facteur principal déterminant si un honeytoken est indiscernable d'un identifiant légitime.