Un modello integrato control-flow e data-flow per il rilevamento ...

1.2. Obiettivo del lavoro 5
informazione diventa quindi possibile approntare un semplice sistema che osserva le
chiamate di sistema e se non sono pertinenti prende provvedimenti quali impedirle
o addirittura uccidere il processo dal quale sono state fatte.
Già a metà degli anni ’90 ci si è resi conto che l’osservazione delle chiamate di
sistema effettuate da un programma durante la sua esecuzione è un buon modo per
capire se il suo comportamento è normale o meno. In [9] ad esempio viene proposto
un semplice metodo che, osservando le ultime tre chiamate di sistema effettuate da un
processo, è in grado di stabilire con buona approssimazione se il suo comportamento
è anomalo. Negli anni successivi sono stati proposti svariati nuovi metodi basati
sulle più disparate tecniche, sia statiche che dinamiche. Di queste ultime molte di
esse sono di tipo probabilistico, molte di esse si basano su analisi più formali. Le
più recenti tecniche dinamiche presenti in letteratura sono in grado di ricostruire
una parte significativa del control flow di un programma. Successivamente queste
tecniche sono state applicate con successo a sistemi virtualizzati, permettendo di
monitorare le attività dei processi in modo completamente invisibile dall’interno
della macchina virtuale [15].
Presto ci si è resi conto che osservare soltanto qual’era la system call effettuata
era limitativo e si è iniziato a prendere in considerazione anche i parametri. Anche in
questo caso sono state proposte idee molto diverse, prevalentemente di tipo statistico.
Recentemente però è stato proposto un modello in grado di apprendere il data flow
tra le chiamate di sistema.
1.2 Obiettivo del lavoro
Il lavoro presentato in questa tesi è centrato proprio sull’anomaly detection basata
sull’osservazione delle system call. Tra i vari modelli che si possono costruire a
questo scopo ne esistono alcuni basati su automi o su grafi, che si differenziano per
la loro precisione nel rappresentare il control flow del programma. Dal lato data
flow i modelli sono invece tutt’altro che numerosi. In questa tesi verranno prese in
considerazione entrambe le tipologie di modelli, verranno studiate le loro possibilità
sia considerando i modelli presi singolarmente sia se integrati tra di loro (control
flow + data flow) e verranno evidenziate delle debolezze. Verrà quindi proposto un
nuovo modello integrato che cerca di superarle.