1. À propos de l'analyse dynamique
L'analyse dynamique est une méthode d'analyse qui consiste à étudier un programme pendant son exécution. Contrairement à l'analyse statique, qui examine un fichier sans le lancer, l'analyse dynamique permet d'observer directement les actions réalisées par le programme sur le système.
En cybersécurité, cette technique est particulièrement importante pour étudier le comportement d'un programme suspect ou d'un malware. Certains comportements ne deviennent visibles qu'au moment de l'exécution.
Un programme peut par exemple créer des fichiers, lancer de nouveaux processus, modifier des paramètres du système, ouvrir des connexions réseau ou tenter d'établir une persistance.
Objectifs de l'analyse dynamique
- observer les processus créés par le programme ;
- identifier les fichiers créés, modifiés ou supprimés ;
- surveiller l'utilisation des ressources système ;
- observer les communications réseau ;
- identifier les domaines et adresses IP contactés ;
- détecter les modifications de configuration ;
- identifier les mécanismes de persistance ;
- rechercher des indicateurs de compromission ;
- comprendre le comportement global du programme.
Analyse statique et analyse dynamique
| Analyse statique | Analyse dynamique |
|---|---|
| Le programme n'est pas exécuté | Le programme est exécuté |
| Analyse du fichier | Analyse du comportement |
| Étude des chaînes et métadonnées | Observation des processus et fichiers |
| Analyse du code possible | Observation des communications réseau |
| Risque d'exécution limité | Nécessite un environnement contrôlé |
Les deux méthodes sont complémentaires. Une investigation peut commencer par une analyse statique, puis utiliser l'analyse dynamique lorsque l'observation du comportement réel du programme est nécessaire.
2. Principe et environnement d'analyse dynamique
Le principe de l'analyse dynamique consiste à exécuter un programme tout en surveillant les modifications qu'il provoque dans son environnement. Dans le cas d'un programme inconnu ou potentiellement malveillant, cette opération ne doit pas être réalisée directement sur un ordinateur personnel ou professionnel.
Utiliser un environnement isolé
L'analyse doit être effectuée dans un environnement isolé. Une machine virtuelle ou une sandbox spécialement préparée peut être utilisée afin de limiter les conséquences d'un comportement malveillant.
Une architecture simplifiée peut être représentée ainsi :
1 2 3 4 5 6 7 8 9 10 11 | Machine principale | +--- Environnement d'analyse isolé | +--- Programme étudié | +--- Surveillance des processus | +--- Surveillance des fichiers | +--- Surveillance du réseau |
Sortie :
1 | Le programme étudié s'exécute dans un environnement contrôlé où son comportement peut être observé. |
Pourquoi isoler l'environnement ?
Si un fichier étudié est réellement malveillant, il pourrait tenter d'accéder aux documents personnels, aux comptes de l'utilisateur, aux équipements du réseau local ou à d'autres ressources sensibles. L'isolation permet de réduire ces risques.
Précautions importantes
- ne jamais exécuter un malware inconnu sur une machine de production ;
- utiliser un environnement réservé aux analyses ;
- contrôler soigneusement la configuration réseau de la machine virtuelle ;
- éviter l'accès aux dossiers personnels ou professionnels ;
- désactiver les fonctions de partage inutiles entre l'hôte et la machine virtuelle ;
- ne pas utiliser de comptes réels dans l'environnement d'analyse ;
- conserver un état propre permettant de restaurer le laboratoire.
Les snapshots
Un snapshot permet d'enregistrer l'état d'une machine virtuelle avant une analyse. Après l'expérience, la machine peut être restaurée à cet état initial afin d'éliminer les modifications apportées pendant l'étude.
3. Observer les processus, fichiers et ressources système
L'un des objectifs principaux d'une analyse dynamique consiste à déterminer les actions réalisées par un programme sur le système. L'analyste observe notamment les processus, les fichiers et l'utilisation des ressources.
Observer les processus
Lors de son exécution, un programme peut créer d'autres processus. Cette information peut aider à comprendre son fonctionnement et à construire l'arbre des processus.
Le programme Python suivant affiche simplement l'identifiant du processus Python actuellement exécuté. Il permet de comprendre la notion de PID, ou Process Identifier, utilisée par les outils de surveillance.
1 2 | import os print("PID du programme :", os.getpid()) |
Sortie :
1 | PID du programme : 5840 |
La valeur du PID varie d'une exécution à l'autre. Dans une analyse réelle, les outils spécialisés permettent de suivre les processus parents, les processus enfants et leurs activités.
Observer la création d'un fichier
Un programme peut créer ou modifier des fichiers pendant son fonctionnement. L'exemple suivant simule une activité parfaitement légitime : le programme crée un fichier journal. Cette expérience permet de comprendre ce qu'un outil de surveillance peut observer.
1 2 3 4 | nom_fichier = "journal_demo.txt" with open(nom_fichier, "w", encoding="utf-8") as fichier: fichier.write("Programme exécuté avec succès.") print("Fichier créé :", nom_fichier) |
Sortie :
1 | Fichier créé : journal_demo.txt |
Lors de l'analyse d'un programme suspect, l'analyste chercherait de la même manière à déterminer quels fichiers sont créés et dans quels répertoires ils sont enregistrés.
Vérifier l'existence d'un fichier
Python peut également vérifier si un fichier particulier existe après l'exécution d'un programme. Dans cet exemple, nous vérifions simplement le fichier pédagogique créé précédemment.
1 2 3 4 5 6 | import os nom_fichier = "journal_demo.txt" if os.path.exists(nom_fichier): print("Le fichier existe.") else: print("Le fichier n'existe pas.") |
Sortie :
1 | Le fichier existe. |
Surveiller les ressources
L'analyse dynamique peut également étudier la consommation du processeur, de la mémoire, du disque ou d'autres ressources. Une activité anormalement élevée peut constituer une information intéressante, mais elle ne prouve pas à elle seule qu'un programme est malveillant.
4. Analyser le comportement réseau d'un programme
De nombreux programmes utilisent le réseau pour communiquer avec des serveurs distants. L'analyse réseau permet d'identifier les connexions réalisées pendant l'exécution d'un programme.
Dans le cas d'un logiciel malveillant, l'analyste peut notamment rechercher des communications avec une infrastructure de commande et contrôle, des téléchargements supplémentaires ou des transferts inhabituels de données.
Informations pouvant être observées
- adresse IP source ;
- adresse IP destination ;
- port source ;
- port destination ;
- protocole utilisé ;
- nom de domaine contacté ;
- volume de données échangées ;
- fréquence des communications.
Analyser un journal réseau fictif
Pour comprendre le principe sans effectuer de connexion vers une infrastructure inconnue, le programme suivant analyse des événements réseau fictifs. Les adresses IP utilisées appartiennent à des plages réservées à la documentation.
1 2 3 4 5 6 7 8 | connexions = [ ("192.0.2.10", 443), ("198.51.100.25", 80), ("192.0.2.10", 443), ("203.0.113.7", 53) ] for ip, port in connexions: print("Destination :", ip, "- Port :", port) |
Sortie :
1 2 3 4 | Destination : 192.0.2.10 - Port : 443 Destination : 198.51.100.25 - Port : 80 Destination : 192.0.2.10 - Port : 443 Destination : 203.0.113.7 - Port : 53 |
Compter les connexions
L'exemple suivant complète l'analyse en comptant le nombre de connexions observées vers chaque adresse. Ce type de traitement peut aider à mettre en évidence des communications répétitives dans un journal.
1 2 3 4 5 6 7 8 9 10 11 12 | connexions = [ "192.0.2.10", "198.51.100.25", "192.0.2.10", "203.0.113.7", "192.0.2.10" ] compteur = {} for ip in connexions: compteur[ip] = compteur.get(ip, 0) + 1 for ip, nombre in compteur.items(): print(ip, ":", nombre) |
Sortie :
1 2 3 | 192.0.2.10 : 3 198.51.100.25 : 1 203.0.113.7 : 1 |
Une communication répétitive peut attirer l'attention de l'analyste, mais elle n'est pas nécessairement malveillante. De nombreux logiciels légitimes contactent régulièrement des serveurs pour effectuer des synchronisations, rechercher des mises à jour ou envoyer des données autorisées.
5. Outils et méthodologie d'analyse dynamique
Plusieurs outils peuvent être utilisés pour observer le comportement d'un programme. Le choix dépend du système d'exploitation, du type de fichier et de l'objectif de l'analyse.
Process Monitor
Process Monitor permet notamment d'observer différentes activités réalisées par les processus sous Windows. Il peut aider à identifier des accès aux fichiers et certaines modifications du système.
Process Explorer
Process Explorer fournit une vue détaillée des processus Windows et de leurs relations. Il permet notamment d'examiner les processus parents et enfants et différentes informations associées à leur exécution.
Wireshark
Wireshark est un analyseur de protocoles réseau. Dans un laboratoire autorisé, il peut être utilisé pour observer le trafic généré pendant l'exécution d'un programme.
Sandbox
Une sandbox peut automatiser une partie de l'analyse dynamique. Elle exécute un fichier dans un environnement contrôlé et produit généralement un rapport décrivant les comportements observés.
Débogueur
Un débogueur permet une analyse plus détaillée de l'exécution. L'analyste peut examiner progressivement les instructions exécutées et l'évolution de l'état du programme. Cette technique relève d'une analyse plus avancée et demande de bonnes connaissances en programmation et en architecture des ordinateurs.
Méthodologie générale
- Collecter et documenter le fichier à analyser.
- Calculer son empreinte cryptographique.
- Effectuer d'abord une analyse statique lorsque cela est pertinent.
- Préparer un environnement d'analyse isolé.
- Créer un snapshot propre de la machine virtuelle.
- Démarrer les outils de surveillance nécessaires.
- Exécuter le programme dans l'environnement contrôlé.
- Observer les processus créés.
- Observer les fichiers créés ou modifiés.
- Analyser les éventuelles modifications de configuration.
- Observer les communications réseau.
- Collecter les indicateurs pertinents.
- Arrêter l'analyse et documenter les résultats.
- Restaurer l'environnement à son état propre.
Créer un petit rapport avec Python
Après une analyse, les observations peuvent être regroupées dans un rapport. Le programme suivant utilise uniquement des données fictives pour montrer comment Python peut présenter les résultats de manière structurée.
1 2 3 4 5 6 7 8 9 | observations = { "Processus créés": 3, "Fichiers créés": 5, "Fichiers modifiés": 2, "Connexions réseau": 4 } print("RAPPORT D'ANALYSE") for categorie, nombre in observations.items(): print(categorie, ":", nombre) |
Sortie :
1 2 3 4 5 | RAPPORT D'ANALYSE Processus créés : 3 Fichiers créés : 5 Fichiers modifiés : 2 Connexions réseau : 4 |
Dans un véritable rapport, ces données seraient complétées par les noms des processus, les chemins des fichiers, les horodatages, les domaines contactés, les empreintes et les autres indicateurs de compromission pertinents.
6. À retenir
L'analyse dynamique consiste à étudier un programme pendant son exécution. Elle permet d'observer directement les actions qu'il réalise sur le système et complète ainsi les informations obtenues par l'analyse statique.
L'analyste peut notamment surveiller les processus, les fichiers créés ou modifiés, les ressources utilisées, les modifications de configuration et les communications réseau.
Lorsqu'un programme inconnu ou potentiellement malveillant doit être exécuté, l'analyse doit être réalisée dans un environnement isolé spécialement préparé. Une machine virtuelle ou une sandbox peut contribuer à limiter les risques pour le système principal.
Des outils tels que Process Monitor, Process Explorer et Wireshark permettent d'observer différents aspects du comportement d'un programme. Les résultats peuvent ensuite servir à identifier des indicateurs de compromission et à améliorer les mécanismes de détection et de réponse aux incidents.
L'analyse dynamique ne permet cependant pas toujours d'observer tous les comportements d'un programme en une seule exécution. Certains logiciels adaptent leur comportement à leur environnement, attendent certaines conditions ou n'activent certaines fonctions qu'après un délai. Il est donc souvent nécessaire de combiner analyse statique, analyse dynamique et autres techniques d'investigation.
Auteur : Younes Derfoufi
Lieu de travail : CRMEF OUJDA
Site Web : www.tresfacile.net
Chaine YouTube : https://www.youtube.com/user/InformatiquesFacile
Me contacter : https://www.tresfacile.net/me-contacter/
