Malicious trafic observation using a framework to parallelize and compose midpoint inspection devices. (Observation du trafic malveillant à l'aide d'un cadriciel permettant la composition et la parallélisation d'inspecteurs de points d'interconnexion)

Notre these stipule qu'au vu de l'ampleur des agissements malveillants dans l'Internet, les logiciels d'extremite doivent etre surveilles. Pour limiter le nombre de points de surveillance, nous proposons de surveiller les logiciels depuis un point d'interconnexion. Nous avons dans ce but concu Luth, un outil permettant de composer et de paralleliser un ensemble d'inspecteurs de points d'interconnexion (appeles MI) qui implementent des mini IDS, IPS ou pare-feux, tout en verifiant la correction et l'optimalite de ces derniers, a l'aide d'un langage de configuration et des algorithmes associes. Nous utilisons ensuite cet outil pour surveiller des logiciels d'extremite permettant l'observation de trafic malveillant. Premierement, apres avoir demontre la necessite de surveiller des pots de miels collecteurs de logiciels malveillants en concevant une attaque originale, nous montrons comment nous configurons Luth pour bloquer les attaques precedemment creees tout en laissant passer les attaques emulees par le pot de miel. Dans un second temps, nous utilisons Luth pour implementer un bac-a-sable permettant d'analyser dynamiquement et aussi surement que voulu, les communications reseaux des logiciels malveillants. Nous montrons comment les informations obtenues par cette analyse permettent de regrouper ces logiciels et ainsi de limiter le nombre de binaires a analyser manuellement. Ensuite nous montrons comment nous generons automatiquement des signatures permettant la detection de ces virus depuis un point d'interconnexion. ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------Our Ph.D states that given the magnitude of malicious behavior in the Internet, end-host software must be monitored. To limit the number of monitoring points, we propose to monitor the software from an interconnection point, i.e. a midpoint. We have designed for this purpose Luth, a tool to compose and parallelize a set of midpoint inspectors (MI) that implement mini IDS, IPS or firewall-s, while checking the correction and optimality of the resulting inspection tree, using a configuration language, its interpreter and associated algorithms. We then configure this tool to monitor some end-host software used to observe malicious traffic. First, we demonstrate why malware downloading honeypots must be monitored by designing an original attack. Then, we show how we configure Luth to block these attacks while accepting the intrusions emulated by the honeypot. In a second step, we use Luth to implement a sandbox that analyzes dynamically and as safely as wanted malware's network communications. We show how the information obtained by this analysis enables us to cluster the analyzed malware and therefore limit the number of malware to analyze manually. Finally, we show how we automatically generate signatures from this analysis to detect those malware from a midpoint device.