Détection des anomalies

Détecter des anomalies consiste à repérer un trafic qui s’écarte de la référence d’un réseau. Vous ne pouvez reconnaître ce qui est anormal qu’après avoir appris ce qui est normal.

Cette leçon présente les schémas courants qui révèlent une activité malveillante.

Un balayage de ports se manifeste lorsqu’une même source contacte de nombreux ports d’un hôte, souvent avec des paquets SYN qui reçoivent des réponses RST.

Une série de SYN envoyés vers des ports successifs depuis une seule IP constitue une signature classique.

Les logiciels malveillants émettent souvent des balises : ils contactent un serveur de commande et de contrôle à intervalles réguliers. L’indice révélateur est la présence de connexions périodiques, de taille similaire, vers la même destination.

Recherchez une régularité d’horloge qu’une navigation humaine ne présente jamais.

Le tunnel DNS dissimule des données dans des requêtes DNS. Sa signature est constituée de nombreux sous-domaines longs à l’aspect aléatoire sous un même domaine.

Un volume élevé de requêtes vers un seul domaine, avec des étiquettes encodées, est suspect.

Surveillez les protocoles utilisant les mauvais ports : SSH sur le port 443, ou du TCP brut là où vous vous attendez à trouver HTTPS.

Les attaquants dissimulent le trafic sur des ports courants pour passer outre les pare-feu. La détection des protocoles par Wireshark aide à repérer cette discordance.

Un poste de travail qui envoie soudainement des gigaoctets vers l’extérieur peut indiquer une exfiltration de données.

Utilisez les conversations des statistiques et triez-les par nombre d’octets pour trouver les hôtes qui envoient des volumes inhabituels vers des IP externes.

Dans HTTP, des chaînes d’agent utilisateur inhabituelles ou vides peuvent révéler des outils automatisés ou des logiciels malveillants qui n’ont pas pris la peine de se dissimuler.

Filtrez les agents inhabituels pour faire apparaître les clients utilisant des scripts.

De nombreux paquets RST ou des SYN répétés sans établissement de connexion peuvent indiquer un balayage, une attaque par force brute ou une tentative de déni de service.

Une hausse des connexions semi-ouvertes mérite une investigation.

Sur les réseaux locaux, surveillez les anomalies ARP : deux IP revendiquant la même MAC ou des réponses ARP rapides. Ces signes suggèrent une attaque de l’homme du milieu ou une usurpation ARP.

Wireshark signale automatiquement les paquets ARP associés à des adresses dupliquées.

Un seul paquet inhabituel prouve rarement une attaque. Renforcez votre confiance en corrélant plusieurs indicateurs au fil du temps et entre les hôtes.

Une balise, un domaine connu comme malveillant et un transfert volumineux constituent un faisceau d’indices solide ; pris séparément, chacun est peu probant.

Au-delà de Wireshark, des outils comme Zeek et Suricata transforment les paquets bruts en journaux et alertes structurés, à grande échelle.

Ils automatisent une grande partie de la détection des anomalies que vous devriez autrement effectuer manuellement.

Vérifiez votre compréhension de la détection des anomalies.

Vous avez appris à détecter les anomalies dans le trafic.

• Balayages de ports : une source, de nombreux ports.
• Balises périodiques : connexions régulières et programmées vers un serveur de commande et de contrôle.
• Tunnel DNS : sous-domaines longs et aléatoires.
• Surveillez les protocoles utilisant de mauvais ports, les transferts sortants volumineux, les rafales de RST et l’usurpation ARP.
• Corrélez plusieurs indicateurs ; utilisez Zeek et Suricata à grande échelle.

Vous allez maintenant extraire des fichiers et des identifiants à partir de captures.