Analyse de malwares et sécurisation des données¶
Volume horaire : 16h CM · 8h TP (24h)
Présentation¶
Ce module aborde deux volets complémentaires de la sécurité défensive. Le premier volet initie à l'analyse de logiciels malveillants (malwares) : comment les identifier, les classer, les étudier de manière statique puis dynamique dans un cadre strictement contrôlé et éthique, et s'appuyer sur des techniques élémentaires de rétro-ingénierie pour comprendre leur comportement. Le second volet porte sur la sécurisation des données elles-mêmes (chiffrement, classification, contrôle d'accès, sauvegarde) et sur les dispositifs de détection et de réponse aux incidents qui font le lien entre les deux thématiques. L'ensemble du module est construit autour d'une posture strictement défensive et pédagogique : aucune technique offensive prête à l'emploi ni aucun code malveillant fonctionnel n'y est enseigné ou manipulé.
Objectifs pédagogiques¶
- Connaître la taxonomie des logiciels malveillants (virus, ver, cheval de Troie, ransomware, spyware, rootkit) et le cycle de vie d'une attaque malveillante.
- Comprendre les principes de l'analyse statique (signatures, hachage, chaînes de caractères, désassemblage de base) et ses limites face à l'obfuscation.
- Comprendre les principes de l'analyse dynamique en environnement isolé (sandboxing) et les techniques d'évasion employées par certains malwares.
- Acquérir des notions de base de rétro-ingénierie (assembleur x86, structure d'un exécutable) suffisantes pour lire un désassemblage simple.
- Connaître les dispositifs de détection (signatures, heuristiques, comportemental, EDR) et les principes de la réponse à incident, en s'appuyant sur des référentiels reconnus tels que MITRE ATT&CK.
- Maîtriser les principes de sécurisation des données : chiffrement au repos et en transit, classification par sensibilité, contrôle d'accès, prévention de la perte de données et sauvegarde.
- Appliquer un cadre éthique et légal rigoureux à toute activité d'analyse de malwares (isolation, autorisation, absence de manipulation de code malveillant réel).
Prérequis¶
Les modules Cryptographie et Sécurité des applications fournissent des bases utiles (notions de chiffrement, familiarité avec les vulnérabilités logicielles). Une aisance de base avec la ligne de commande (Linux) et des notions élémentaires d'architecture des systèmes (mémoire, processus, système de fichiers) sont recommandées. Aucune expérience préalable en rétro-ingénierie n'est requise : les bases nécessaires sont introduites au chapitre 4.
Plan de séances¶
Cours magistraux (16h)¶
| Séance | Chapitre | Durée |
|---|---|---|
| 1 | Introduction à l'analyse de malwares : taxonomie et cycle de vie | 3h |
| 2 | Analyse statique de malwares | 3h |
| 3 | Analyse dynamique et sandboxing | 3h |
| 4 | Techniques de rétro-ingénierie de base | 3h |
| 5 | Détection et réponse | 2h |
| 6 | Sécurisation des données | 2h |
Travaux pratiques (8h)¶
Modalités d'évaluation¶
- TP notés : 40 %
- Étude de cas écrite (analyse d'un rapport d'incident anonymisé ou fictif, avec justification des indicateurs de compromission retenus) : 20 %
- Examen final : 40 %
Cadre éthique et légal¶
Ce module est strictement défensif et pédagogique. Tous les échantillons manipulés en TP sont des programmes fictifs ou bénins, spécialement conçus pour l'exercice, exécutés exclusivement dans des environnements isolés (machines virtuelles dédiées, sans connexion au réseau de l'établissement). Il est formellement interdit de rechercher, télécharger, manipuler ou tenter de créer un logiciel malveillant réel dans le cadre de ce cours. Toute activité d'analyse de malware, y compris en dehors du cours, doit se dérouler dans un environnement isolé et avec une autorisation explicite ; l'usage de ces techniques contre un système réel sans autorisation est illégal et strictement hors du cadre pédagogique de ce module.
Bibliographie¶
- M. Sikorski, A. Honig, Practical Malware Analysis: The Hands-On Guide to Dissecting Malicious Software, No Starch Press.
- C. Eagle, The IDA Pro Book: The Unofficial Guide to the World's Most Popular Disassembler, No Starch Press.
- M. Kim, K. Behr, G. Spafford, ouvrages de référence sur la réponse à incident et les opérations de sécurité (SOC/CSIRT).
- MITRE ATT&CK® — base de connaissances des tactiques et techniques adverses observées, attack.mitre.org.
- NIST Special Publication 800-61, Computer Security Incident Handling Guide.
- NIST Special Publication 800-53 et 800-88 — contrôles de sécurité et assainissement des supports, pour les aspects de sécurisation des données.
Dr. Zakaria Sawadogo — École Polytechnique de Ouagadougou