Network worms: attacks and defenses
Auteur : John Mitchell
Ce support de cours présente le fonctionnement des vers réseau, leurs modes de propagation et les moyens de détection et de blocage. Il définit le ver comme un logiciel autonome capable de se répliquer sur le réseau en exploitant des failles de services courants. Le document revient sur le ver Morris de 1988, puis sur Code Red, SQL Slammer, Nimda et d’autres cas qui montrent l’accélération des infections, de plusieurs heures à moins de 10 minutes selon la cible. Il décrit les vecteurs d’attaque utilisés, comme les débordements de tampon, les options de débogage exposées, les relations de confiance entre machines et les mots de passe faibles. Il présente aussi des modèles de propagation épidémique pour estimer la vitesse d’infection, avec des limites liées aux délais réseau et au déploiement de correctifs. La seconde partie traite de la détection automatique par analyse du trafic, avec EarlyBird, qui repère des sous-chaînes fréquentes et dispersées dans les flux. Le document aborde aussi TaintCheck et Sting, qui observent le comportement de l’hôte après réception d’un flux malveillant pour produire des signatures plus robustes, y compris face aux vers polymorphes. Il se termine par le blocage générique d’exploits, qui consiste à écrire des signatures liées à la forme d’une vulnérabilité plutôt qu’à un code d’attaque précis.
Éléments clés à retenir :
- Le ver Morris a infecté environ 6 000 machines, soit près de 10 % de l’Internet connecté en 1988.
- Code Red a compromis plus de 500 000 serveurs, avec des dommages estimés à 2,6 milliards de dollars.
- SQL Slammer a infecté sa population vulnérable en moins de 10 minutes.
- Les vers se propagent par scan aléatoire, propagation coordonnée, topologique, via méta-serveur ou contagion.
- Les modèles simples de propagation surestiment souvent la vitesse réelle s’ils ignorent délais et correctifs.
- EarlyBird détecte des signatures à partir de motifs fréquents et dispersés dans le trafic, avec une mise en œuvre logicielle annoncée jusqu’à 200 Mbps.
- TaintCheck et Sting visent une détection causale et la génération de signatures sémantiques.
- Le blocage générique d’exploits cherche à couvrir une vulnérabilité entière, pas un seul exploit.
