Un modello integrato control-flow e data-flow per il rilevamento ...

Recommendations

Info

14 2. Modelli per l’anomaly detection • Per ogni esecuzione X ∈ X e ogni osservazione 〈r1, r2, . . . , rk〉 ∈ X, V contiene i nodi r1, . . . , rk. rk è una foglia dell’execution graph. Se l’osservazione a cui appartiene rk è la prima di un’esecuzione allora rk è detto anche nodo di ingresso, se è l’ultima è detto anche nodo di uscita. • Gli insiemi Ecall, Ecrs, Eret sono definiti induttivamente e contengono solo archi ottenuti dalle seguenti regole: – Caso base: Per ogni esecuzione X ∈ X e ogni coppia di osservazioni consecutive 〈r1, r2, . . . , rk〉 e 〈r ′ 1 , r′ 2 dove: l = Se rk è un nodo d’ingresso Se rk è un nodo d’uscita , . . . , r′ k ′ 〉 in X Ertn ← Ertn ∪ {(ri+1, ri)}l≤i
2.1. Modelli control flow 15 1 int main() { 2 int a, b; 3 a = 1; b = 2; 4 f(a); 5 g(); 6 f(b); 7 } 8 9 void f(int x) { 10 syscall5(); 11 if (x == 1) 12 syscall3(); 13 else if (x == 2) 14 syscall4(); 15 } 16 17 void g() { 18 syscall2(); 19 } f.10 main.4 main.5 f.12 f.14 main.6 g.18 syscall5() syscall3() syscall4() syscall2() Figura 2.3: Esempio riguardante la parte induttiva della definizione dell’EG. ma non osservati potrebbero non essere scoperti, in questo caso particolare quelli da f.14 a main.4 e da f.12 a main.6. Grazie alla parte induttiva si riescono a ricavare senza problemi. Definizione 3 ( call →, rtn →) Sia EG(X ) = (V, Ecall, Ecrs, Ertn) un execution graph. r call → r ′ se e solo se esiste un percorso da r a r ′ Analogamente r rtn → r ′ archi in Ertn. se e solo se esiste un percorso da r a r ′ costituito solo da archi in Ecall. costituito solo da Definizione 4 ( xcall → , Execution stack) Sia EG(X ) = (V, Ecall, Ecrs, Ertn) un execution graph. r xcall → r ′ se e solo se: • (r, r ′ ) ∈ Ecall oppure • esiste r ′′ ∈ V tale che (r, r ′′ ′′ crs ) ∈ Ecall e r → r ′ Definizione 5 (Successore) Un execution stack s ′ = 〈r ′ 1 , r′ 2 , . . . , r′ n ′ 〉 è un successore di s = 〈r1, r2, . . . , rn〉 in un execution graph se esiste un intero k tale che rn rtn → rk, (rk, r ′ k ) ∈ Ecrs, r ′ k call → r ′ n ′ e ri = r ′ i per 1 ≤ i < k. Intuitivamente quest’ultima definizione significa che affinché s ′ sia successore di s i due stack devono:
Page 1: Università degli Studi di Udine Fa
Page 5 and 6: Ringraziamenti In questo percorso m
Page 7 and 8: Indice 1 Introduzione 1 1.1 Anomaly
Page 9 and 10: Elenco delle figure 1.1 Codice sema
Page 11 and 12: 1 Introduzione Dai tempi della “d
Page 13 and 14: 1.1. Anomaly detection e system cal
Page 15 and 16: 1.2. Obiettivo del lavoro 5 informa
Page 17 and 18: 1.3. Struttura della tesi 7 seconda
Page 19 and 20: 2 Modelli per l’anomaly detection
Page 21 and 22: 2.1. Modelli control flow 11 con un
Page 23: 2.1. Modelli control flow 13 • Vi
Page 27 and 28: 2.2. Modelli data flow 17 • se v
Page 29 and 30: 2.2. Modelli data flow 19 suo scopo
Page 31 and 32: 2.3. Discussione dei modelli studia
Page 33 and 34: 2.3. Discussione dei modelli studia
Page 35 and 36: 3 Un modello che integra control fl
Page 37 and 38: 3.1. Debolezze dei modelli esistent
Page 45 and 46: 3.2. Proposta 35 1 int main(void) 2
Page 47 and 48: 3.3. Costruzione del modello 37 mai
Page 49 and 50: 3.3. Costruzione del modello 39 Un
Page 51 and 52: 3.3. Costruzione del modello 41 Tra
Page 53 and 54: 3.3. Costruzione del modello 43 Par
Page 55 and 56: 3.3. Costruzione del modello 45 Tut
Page 57 and 58: 3.5. L’algoritmo per la verifica
Page 59 and 60: 3.5. L’algoritmo per la verifica
Page 61 and 62: 4 L’implementazione L’implement
Page 63 and 64: 4.2. Introduzione a DTrace 53 un ce
Page 65 and 66: 4.2. Introduzione a DTrace 55 1 sta
Page 67 and 68: 4.3. Implementazione del sistema 57
Page 69 and 70: 4.4. Costo computazionale del model
Page 71 and 72: 4.4. Costo computazionale del model
Page 73 and 74: 5 Conclusioni e sviluppi futuri La
Page 75 and 76:
5.2. Sviluppi futuri 65 5.2.1 L’u
Page 77 and 78:
5.2. Sviluppi futuri 67 sistemi. In
Page 79 and 80:
Bibliografia [1] System V Applicati
show all

Un modello integrato control-flow e data-flow per il rilevamento ...

You also want an ePaper? Increase the reach of your titles

Delete template?

Save as template?