Un modello integrato control-flow e data-flow per il rilevamento ...

2
Modelli per l’anomaly detection
In questa tesi si è interessati al rilevamento e alla conseguente segnalazione di com-
portamenti anomali tenuti da parte di un processo in esecuzione su un elaboratore.
Questo obiettivo prevede innanzitutto il possesso di un modello del comportamen-
to del processo e successivamente la capacità di verificare che il processo, durante
l’esecuzione, si comporti conformemente al modello (Figura 2.1).
Processo
Eventi
Algoritmo di
apprendimento
Offline Online
Modello
Processo
Eventi
Motore di verifica
del modello
Figura 2.1: Architettura generale di un sistema black-box.
In letteratura si possono trovare decine di metodologie volte alla costruzione di
modelli per l’anomaly detection basate su idee anche molto differenti tra di loro. La
distinzione fondamentale però è forse quella tra metodologie white-box e black-box.
Le prime prevedono di avere a disposizione il codice sorgente (o anche il binario)
del programma in modo da poterlo analizzare staticamente e costruire un model-
lo. Le seconde invece prevedono esclusivamente l’osservazione dell’esecuzione di un
programma e, in base agli eventi generati, costruiscono un modello.