Automatisierte Signaturgenerierung für Malware-Stämme - Zynamics

2.4 Signaturbeschreibungssprachen 15
Einordnung in Semantikmodell
Die Sprachmittel von SHEDEL unterstützen die Beschreibung von Ereignismustern in
Form von Sequenzen und Disjunktionen. Die Häufigkeit eines Ereignismusters kann in
der Ausprägung mindestens modelliert werden, genau und höchstens durch zusätzliche
Abbruchschritte. Der Aspekt Kontinuität wird ebenfalls voll unterstützt. Die hierarchische
Definition von Ereignissen erlaubt zudem die Angabe von Intra- und Inter-Ereignis-
Bedingungen.
Die Dimension Schrittinstanzselektion wird in der Ausprägung erste direkt unterstützt,
letze und alle lassen sich durch entsprechende Schleifenkonstrukte realisieren. Die
Dimension Schrittinstanzkonsum wird ebenfalls voll unterstützt.
Zusammengefasst lassen sich in SHEDEL – bis auf den Aspekt Nebenläufigkeit 11 sowie
den Ausprägungen Konjunktion und Simultanität von Ereignismustern – alle Elemente
aus dem in Abschnitt 2.4.1 vorgestellten Semantikmodell realisieren.
Relation zu endlichen Automaten
Es fällt auf, dass die einzelnen Sprachelemente der Struktur von endlichen Automaten
nachempfunden sind. Ein komplexes EVENT-Element kann als Endlicher Automat interpretiert
werden, dessen Zustandsübergange den STEP-Elemten entsprechen. Vorzustände
eines Zustandsübergangs werden durch die Angabe eines REQUIRES-Ausdrucks beschrieben.
CONDITIONS-Ausdrücke geben die Bedingungen für einen Zustandübergang an.
Listing 2.3 realisiert beispielhaft einen endlichen Automaten NestFound, der Zeichenketten
akzeptiert, die die Buchstaben n, e, s und t in genau der angegebenen Reihenfolge
enthält. Ein Ereignis ist in dieser Signatur das Lesen eines Zeichens der Zeichenkette. 12
Formal akzeptiert der Automat die durch den regulären Ausdruck 13 Σ ∗ nΣ ∗ eΣ ∗ sΣ ∗ t
beschriebene Sprache für ein geeignet gewähltes Alphabet Σ. Mit Σ ∗ wird – der Notation
aus [62] folgend – der Kleenesche Abschluss über Σ bezeichnet. Diese Konstruktion
entspricht genau dem „Don’t care“-Symbol aus Abschnitt 2.3.2.
11 Überlappend ist in SHEDEL der Standardmodus für Nebenläufigkeit.
12 So konstruierte Signaturen sind für den praktischen Einsatz eher ungeeignet, da sie schnell unübersichtlich
werden können. Hier eignen sich Intra-Ereignis-Bedingungen besser zur Beschreibung von Mustervergleichen.
Dessen ungeachtet demonstriert das angegebene Listing die Flexibilität von SHEDEL.
13 Definition siehe Abschnitt 2.4.4.