Un modello integrato control-flow e data-flow per il rilevamento ...

1.1. Anomaly detection e system call 3
dell’architettura x86, attualmente la più diffusa in ambiente desktop e server, il pro-
blema di disassemblare correttamente un binario è addirittura indecidibile [25, 14].
Certamente disassemblatori come IDAPro fanno un egregio lavoro ma il loro output,
per quanto vicino al codice “vero”, è inerentemente non corretto. Una conseguen-
za di questo fatto è che la ricostruzione del control flow di un programma dato il
suo binario non è possibile, se non in modo approssimato. Un interessante lavoro
in questa direzione basato sull’interpretazione astratta è [11]. Le tecniche black-
box di contro, pur essendo universalmente applicabili, possono osservare soltanto le
interazioni di un processo con l’ambiente (ad esempio col sistema operativo o con
la rete). Potrebbe succedere però che, pur osservando per tempi molto lunghi un
processo, non si riesca ad osservare tutte le interazioni ottenendo anche in questo
caso un quadro incompleto. Le tecniche white-box tipicamente sono di tipo statico,
mentre le black-box di tipo dinamico. Le prime quindi necessitano della capacità di
riconoscere ed elaborare sintassi e semantica del programma che si vuole analizzare
(quindi devono avere la capacità di leggere ed interpretare il codice sorgente o il
codice eseguibile) e questo richiede il supporto di tool abbastanza complessi, come
ad esempio il compilatore, il che introduce un ulteriore livello di complessità. Le
tecniche black-box al contrario richiedono una fase di apprendimento in cui tramite
l’osservazione viene costruito il modello. La bontà di quest’ultimo è direttamente
legata al training svolto. Come nel caso del testing del software, anche il training del
modello deve essere fatto cercando di massimizzare la “copertura” dei casi. Nel caso
del testing però se la copertura non è adeguata non si scoprono possibili bug, nel
caso dei modelli black-box invece si ha una quantità inaccettabile di falsi positivi.
1.1 Anomaly detection e system call
Una tecnica d’attacco notevolmente diffusa è quella di fornire ad un programma un
input confezionato ad hoc per far si che esso esca dal suo comportamento previsto
ed esegua delle azioni utili al malintenzionato. Nel 1996 Aleph One in [17] mostrava
come, sfruttando una copia di stringhe fatta senza controllare i bound, fosse possibile
iniettare codice arbitrario in un programma e portarlo a lanciare una shell. Come
si può immaginare, se il programma gira con privilegi di superutente, in questo
modo è possibile ottenere il controllo completo sul sistema. L’idea di questo tipo di
attacco è molto semplice e in Figura 1.2 è riportato un programma vulnerabile. Nel
frammento di codice la stringa some other string viene copiata in buf, che è un
vettore allocato sullo stack. Non essendoci alcun controllo sul numero di caratteri