Un modello integrato control-flow e data-flow per il rilevamento ...

10 2. Modelli per l’anomaly detection
Le tecniche white-box e black-box hanno entrambe vantaggi e svantaggi: se
per esempio si è interessati alla struttura del programma è difficile ricostruirla solo
guardandone varie esecuzioni. Se ci sono dei rami di codice morto per un sistema
black-box è impossibile scoprirli, mentre per un sistema white-box è immediato.
Tuttavia, come vedremo, anche dalle sole osservazioni (a patto di eseguirle corretta-
mente) è possibile ottenere un’incredibile quantità di informazioni. Una delle molte
situazioni in cui invece le tecniche black-box sono avvantaggiate è ad esempio quella
in cui si sta osservando dove si trovano i file che una chiamata ad open() apre: se in
un numero ragionevolmente grande di osservazioni si vede che i file stanno tutti in
una data directory dir si può affermare che quella open() deve aprire solo file che
stanno in dir. Questa, non conoscendo la struttura interna del programma osserva-
to è sicuramente un’informazione tutt’altro che certa ma nonostante l’incertezza è
comunque un’informazione che l’analisi statica nella maggioranza dei casi non può
dare.
In questa tesi si cercherà di modellare per via black-box sia il control flow del
programma che il data flow. Verranno prese in considerazione diverse tecniche già
note, le quali però in certi contesti presentano delle debolezze e dunque l’obiettivo
è di migliorarle e di combinarle in modo da eliminare i problemi che presentano,
ottenendo un modello in grado di rilevare un numero maggiore di attacchi.
2.1 Modelli control flow
I modelli che analizzeremo in questa sezione sono basati sulla descrizione di proprietà
che riguardano il flusso di controllo di un programma. Analizzando gli eventi che
si osservano a runtime è possibile costruire degli automi che rappresentano in modo
più o meno fine le transizioni ammesse per un dato programma.
2.1.1 Automi a stati finiti
Il modello di automi a stati finiti sicuramente più interessante è stato proposto in
[21]. Gli autori osservano come tutti i modelli precedenti abbiano problemi o limi-
tazioni più o meno gravi, o di carattere computazionale [10, 18] o dovute al fatto
che semplicemente è stata proposta una metodologia che poco si presta all’imple-
mentazione [12] e propongono una tecnica molto veloce per apprendere un automa
in grado di rilevare una consistente categoria di attacchi.
L’automa viene costruito a partire da una o più tracce ottenute dall’osservazione
del sistema. Ogni traccia è composta da un certo numero di eventi, rappresentabili