Maltrail: système de détection de trafic malveillant

Maltrail est un système de détection de trafic malveillant, utilisant des listes (noires) accessibles au public et contenant des pistes malveillantes et/ou généralement suspectes, ainsi que des pistes statiques compilées à partir de divers rapports d’AntiVirus et des listes personnalisées définies par l’utilisateur, partant du nom de domaine (par exemple zvpprsensinaix .com pour le malware Banjori), URL (par exemple hXXp://109.162.38.120/harsh02.exe pour un exécutable malveillant connu), adresse IP (par exemple 185.130.5.231 pour un attaquant connu) ou valeur d’en-tête HTTP User-Agent (par exemple sqlmap pour Outil d’injection SQL et de reprise de base de données). En outre, il utilise des mécanismes heuristiques avancés (facultatifs) qui peuvent aider à découvrir des menaces inconnues (par exemple, de nouveaux logiciels malveillants).

Maltrail est basé sur l’architecture Trafic -> Capteur <-> Serveur <-> Client. Le(s) capteur(s) est un composant autonome s’exécutant sur le nœud de surveillance (par exemple, la plate-forme Linux connectée passivement au port SPAN/mirroring ou de manière transparente en ligne sur un pont Linux) ou sur la machine autonome (par exemple, Honeypot) où il « surveille » le trafic qui passe pour les éléments/chemins de la liste noire (c’est-à-dire les noms de domaine, les URL et/ou les IP). En cas de correspondance positive, il envoie les détails de l’événement au serveur (central) où ils sont stockés dans le répertoire de journalisation approprié (c’est-à-dire LOG_DIR décrit dans la section Configuration). Si Sensor est exécuté sur la même machine que Server (configuration par défaut), les journaux sont stockés directement dans le répertoire de journalisation local. Sinon, ils sont envoyés via des messages UDP au serveur distant (c’est-à-dire LOG_SERVER décrit dans la section Configuration).

1- Fonctionnalités

• Tableau de bord
• Détection des scans de masse
• Identification d’attaquants anonymes (utilisant ToR)
• Détection d’attaques de services
• Détection de Malware
• Vérification de domaines suspects
• Demandes ipinfo suspectes
• Détection des téléchargements directs de fichiers suspects
• Détection de requêtes HTTP suspectes
• Détection de scanning de ports
• Détection des attaques DDoS via DNS resource exhaustion
• Détection des fuites de données

2- Aperçu