TP3 — Sandbox et analyse comportementale (2h)¶

Cadre du TP¶

Ce TP se déroule exclusivement dans la machine virtuelle isolée fournie pour le module (réseau host-only ou désactivé, instantané propre pris avant le début de la séance). Le programme observé (simulateur_pedagogique) est un exécutable bénin fourni par l'enseignant, qui simule volontairement certains comportements présentés en cours comme suspects (écriture d'un fichier dans un répertoire utilisateur, tentative de connexion réseau vers une adresse fictive non routée) à des fins strictement d'observation pédagogique. Il ne contient aucune charge malveillante réelle. Toute utilisation de cette VM en dehors de ce cadre isolé est interdite.

Objectifs¶

Préparer et vérifier un environnement d'analyse isolé conforme aux bonnes pratiques du chapitre 3.
Observer et documenter le comportement d'un programme pédagogique à l'exécution.
Distinguer, dans les observations, ce qui relève d'un accès fichier, d'une modification de persistance, et d'une tentative de communication réseau.

Exercice 1 — Vérification de l'isolation de l'environnement¶

Avant toute exécution, vérifier et documenter :

Que la carte réseau de la VM est bien configurée en mode host-only (ou désactivée), en confirmant l'absence d'accès à Internet depuis la VM.
Qu'un instantané (snapshot) de la VM dans son état sain a bien été pris et daté.
Qu'aucun dossier partagé actif avec la machine hôte n'est configuré.

Consigner ces trois vérifications dans un court compte rendu avant de poursuivre.

Exercice 2 — Instantané du système avant exécution¶

Avant de lancer simulateur_pedagogique, produire un état de référence du système :

find / -xdev -type f -newer /etc/hostname > /tmp/etat_avant.txt 2>/dev/null
ps aux > /tmp/processus_avant.txt

Exercice 3 — Exécution surveillée et observation comportementale¶

Lancer le programme sous un outil de traçage des appels système (par exemple strace sous Linux) :

strace -f -o trace_comportementale.log ./simulateur_pedagogique

Examiner la trace produite et relever :
les fichiers ouverts, créés ou modifiés (accès fichiers) ;
les tentatives de connexion réseau (appels connect, socket) et l'adresse ciblée ;
tout processus enfant éventuellement créé.

Exercice 4 — Comparaison de l'état du système¶

Après l'exécution, reproduire l'instantané du système et comparer avec l'état de référence de l'exercice 2 :

find / -xdev -type f -newer /etc/hostname > /tmp/etat_apres.txt 2>/dev/null
diff /tmp/etat_avant.txt /tmp/etat_apres.txt

Identifier les fichiers apparus ou modifiés, et les relier aux observations de la trace comportementale de l'exercice 3.

Exercice 5 — Synthèse et restauration¶

Rédiger une courte fiche d'analyse comportementale (à la manière d'un rapport professionnel simplifié) résumant : les fichiers touchés, la tentative de connexion réseau observée (adresse et port), et une hypothèse sur la catégorie de comportement simulé (persistance, exfiltration, etc.) au regard de la taxonomie du chapitre 1.
Restaurer la VM à l'instantané sain pris avant l'exercice, conformément aux bonnes pratiques du chapitre 3.

À rendre¶

La trace comportementale annotée (exercice 3), le résultat de la comparaison d'état (exercice 4), et la fiche d'analyse comportementale (exercice 5).

Dr. Zakaria Sawadogo — École Polytechnique de Ouagadougou