Un modello integrato control-flow e data-flow per il rilevamento ...

1
Introduzione
Dai tempi della “dot-com bubble” stiamo assistendo ad una crescita enorme del-
la diffusione di dispositivi informatici di ogni tipo e, a differenza di dieci anni fa,
è abbastanza difficile pensare di poter vivere senza interagire ogni giorno con un
computer potenzialmente connesso alla rete. Router casalinghi e telefonini montano
CPU sufficientemente potenti da poter far girare un kernel Unix, per non parlare di
televisori e media-center. Se pensiamo a quanti di questi dispositivi ognuno di noi
ha in casa e, soprattutto, alla quantità di dati personali che essi manipolano, la loro
protezione da attacchi informatici diventa un obiettivo primario. Le minacce per un
computer, comprendendo negli oggetti indicati con questa parola anche i dispositivi
appena citati, sono dei tipi più svariati ed impensabili e le tecniche di difesa sono
letteralmente centinaia, ognuna volta a proteggere da determinati tipi di attacchi.
Volendo prescindere dalla tipologia d’attacco possiamo distinguere due metodo-
logie fondamentali nel rilevamento, la misuse detection, altrimenti detta signature-
based detection e la anomaly detection. Gli antivirus in buona approssimazione fanno
un lavoro di misuse detection: essi infatti, dato ad esempio un file eseguibile, sono
in grado di cercare al suo interno delle sequenze di byte corrispondenti a payload
malevoli già noti. Il confronto è puramente sintattico e quindi una “versione B”
del payload sintatticamente diversa ma semanticamente equivalente potrebbe non
venire rilevata. Prendiamo i due frammenti di assembler x86 di Figura 1.1:
jmp 0x01ab23cd
(a)
push 0x01ab23cd
ret
(b)
Figura 1.1: Codice semanticamente equivalente.
l’effetto netto del codice è esattamente lo stesso, quindi semanticamente sono identici