Un modello integrato control-flow e data-flow per il rilevamento ...

2.2. Modelli data flow 19
suo scopo è autenticare un utente su un sistema e per farlo utilizza una procedura
authenticate() (che potrebbe essere di complessità arbitraria). Se l’autenticazione
ha successo viene impostato un flag per ricordarlo ed il programma può procedere.
L’uso non sicuro di gets() permette però ad un utente malintenzionato di impostar-
lo ad un valore diverso da zero e, anche se l’autenticazione non ha successo, l’accesso
al sistema viene garantito. Al di là del fatto che gets() è qualcosa di talmente
pericoloso che se viene usata viene generato un warning dal compilatore, in un caso
come questo un IDS potrebbe verificare i valori di ritorno delle read() provocate
dalle gets() ed, essendo anomali, uccidere il processo.
È notevole fino a dove ci si sia spinti con attacchi classificabili come non-control
data: in [3], provocando fallimenti casuali all’hardware e dunque errori nelle com-
putazioni, è stato mostrato come sia possibile rendere del tutto vulnerabili alcuni
codici crittografici, RSA compreso.
necessario proteggere anche il data flow.
2.2.1 Un modello data flow
È dunque chiaro come, oltre al control flow, sia
Nel tempo diversi sono stati i tentativi di utilizzare anche i parametri nel rilevamento
di comportamenti anomali [13, 22, 8] e gli approcci utilizzati sono stati prevalen-
temente statistici. Un modello notevole però è quello proposto in [2]. Gli autori
mostrano una tecnica che permette di apprendere delle relazioni tra i parametri del-
le system call. Ad esempio, se viene eseguita una open() ed il file descriptor da
essa restituito viene usato da una successiva read() e da una successiva close(), il
sistema è in grado di apprendere che il valore del file descriptor tra le tre chiamate
deve essere uguale.
Il sistema è in grado di apprendere sia relazioni unarie, ovvero che valgono pun-
tualmente su un singolo argomento, sia binarie, ovvero che valgono tra due argomenti
differenti.
Algoritmo 1: Algoritmo del modello data flow.
learnRelations(EvArg X, Value V);
Y = lookup(V );
CurRels[R][X] = CurRels[R][X] ∩ Y;
Yn = Y ∩ NewArgs(X);
CurRels[R][X] = CurRels[R][X] ∪ Yn;
update(X, V );