Observation du trafic malveillant en utilisant un cadriciel permettant la composition d'inspecteurs de point d'interconnexion

Malicious trafic observation using a framework to parallelize and compose midpoint inspection devices

• Auteur / Autrice : Ion Alberdi
• Direction : Philippe Owezarski, Vincent Nicomette
• Type : Thèse de doctorat
• Discipline(s) : Doctorat de reseaux, telecom., systemes et architectures
• Date : Soutenance le 09/04/2010
• Etablissement(s) : Toulouse, INSA
• Ecole(s) doctorale(s) : École doctorale Mathématiques, informatique et télécommunications (Toulouse)
• Partenaire(s) de recherche : Laboratoire : Laboratoire d'Analyse et d'Architecture des Systemes - LAAS
• Jury : Examinateurs / Examinatrices : Philippe Owezarski, Vincent Nicomette, Abdelmalek Benzekri, Marc Dacier, Ludovic Me, Abdelhamid Mellouk
• Jury : Rapporteur / Rapporteuse : Herve Debar, Olivier Festor

Mots clés

Mots clés contrôlés

Coupe-feu (sécurité informatique)

Réseaux d'ordinateurs -- Mesures de sûreté

Virus informatiques

Mots clés libres

Virus informatiques

Reseaux d'ordinateurs-mesures de surete

Coupe-feu (securite informatique)

Vulnérabilité

Botnet

Pare-feu

Attaques

Malware

Botnet

Vulnerabilities

Attacks

Internet

Firewall

Résumé

Notre thèse stipule qu'au vu de l'ampleur des agissements malveillants dans l'Internet, les logiciels d'extrémité doivent être surveillés. Pour limiter le nombre de points de surveillance, nous proposons de surveiller les logiciels depuis un point d'interconnexion. Nous avons dans ce but conçu Luth, un outil permettant de composer et de paralléliser un ensemble d'inspecteurs de points d'interconnexion (appelés MI) qui implémentent des mini IDS, IPS ou pare-feux, tout en vérifiant la correction et l'optimalité de ces derniers, à l'aide d'un langage de configuration et des algorithmes associés. Nous utilisons ensuite cet outil pour surveiller des logiciels d'extrémité permettant l'observation de trafic malveillant. Premièrement, après avoir démontré la nécessité de surveiller des pots de miels collecteurs de logiciels malveillants en concevant une attaque originale, nous montrons comment nous configurons Luth pour bloquer les attaques précédemment créées tout en laissant passer les attaques émulées par le pot de miel. Dans un second temps, nous utilisons Luth pour implémenter un bac-à-sable permettant d'analyser dynamiquement et aussi sûrement que voulu, les communications réseaux des logiciels malveillants. Nous montrons comment les informations obtenues par cette analyse permettent de regrouper ces logiciels et ainsi de limiter le nombre de binaires à analyser manuellement. Ensuite nous montrons comment nous générons automatiquement des signatures permettant la détection de ces virus depuis un point d'interconnexion

Our Ph.D states that given the magnitude of malicious behavior in the Internet, end-host software must be monitored. To limit the number of monitoring points, we propose to monitor the software from an interconnection point, i.e. a midpoint. We have designed for this purpose Luth, a tool to compose and parallelize a set of midpoint inspectors (MI) that implement mini IDS, IPS or firewall-s, while checking the correction and optimality of the resulting inspection tree, using a configuration language, its interpreter and associated algorithms. We then configure this tool to monitor some end-host software used to observe malicious traffic. First, we demonstrate why malware downloading honeypots must be monitored by designing an original attack. Then, we show how we configure Luth to block these attacks while accepting the intrusions emulated by the honeypot. In a second step, we use Luth to implement a sandbox that analyzes dynamically and as safely as wanted malware's network communications. We show how the information obtained by this analysis enables us to cluster the analyzed malware and therefore limit the number of malware to analyze manually. Finally, we show how we automatically generate signatures from this analysis to detect those malware from a midpoint device