Automatisierte Signaturgenerierung für Malware-Stämme - Zynamics

14 2 Begriffe, Konzepte und Verfahren
1 EVENT LoginFailure {
2 // Jeder auftretende Einzelschritt löst eine
3 // LoginFailure-Ereignis aus.
4 STEP failure529 INITIAL EXIT TYPE EVENTID529 // Anmeldeereignis 529
5 // ...
6 STEP failure539 INITIAL EXIT TYPE EVENTID539 // Anmeldeereignis 539
7 FEATURES
8 hostname = (failure529.host | ... | failure539.host),
9 username = (failure529.user | ... | failure539.user),
10 // ...
11 }
Listing 2.1: SHEDEL-Signatur für fehlgeschlagene Anmeldeversuche
1 EVENT AdministratorFailedLogin {
2 STEP failure INITIAL EXIT TYPE LoginFailure
3 CONDITIONS
4 // Nur fehlerhafte Anmeldungen des Administrators
5 failure.username == "Administrator"
6 FEATURES
7 // ...
8 }
Listing 2.2: Spezialisierung einer SHEDEL-Signatur
Benutzernamen und Kennwort oder ein abgelaufenes Kennwort eingegeben hat, oder
ob das Benutzerkonto gesperrt oder abgelaufen ist. Die direkte Überprüfung auf jede
einzelne dieser Ereigniskennungen für die bedingte Generierung eines Alarms (etwa
für die Bedingung „drei fehlgeschlagene Anmeldeversuche in den letzten 30 Sekunden“)
erfordert das Testen von neun Signaturen. SHEDEL erlaubt hier die Definition einer
Verallgemeinerung – die oben genannten Ereignisse können wie in Listing 2.1 zu dem
Ereignis LoginFailure zusammengefasst werden.
Für den Fall, dass nur fehlgeschlagene Anmeldeversuche für einen bestimmten Benutzer
(etwa „Administrator“) einen Alarm generieren sollen, ist eine Spezialisierung des LoginFailure-Ereignisses
möglich (siehe Listing 2.2).
Eine ausführliche Beschreibung der Sprachelemente von SHEDEL ist in [44] zu finden.