Un modello integrato control-flow e data-flow per il rilevamento ...

2.3. Discussione dei modelli studiati 21
• NewArgs(C) è {A, B} per la prima occorrenza di C, è {D, E} per la seconda
In Figura 2.7 è riportato un piccolo programma insieme alle informazioni apprese
dal modello data flow.
1 int main(void)
2 {
3 int fd;
4 fd = open("test.txt");
5 write(fd,"Hello");
6 close(fd);
7 }
fd@5 equals fd@4
fd@6 equals fd@4
fd@6 equals fd@5
Figura 2.7: Informazioni apprese a runtime dall’analisi data flow.
2.3 Discussione dei modelli studiati
In questo capitolo sono stati descritti quattro modelli control flow ed uno data flow.
Dei quattro modelli data flow, tre sono costruiti black-box, ovvero senza bisogno di
aver accesso al codice sorgente: questo permette una loro applicazione universale
a differenza del quarto modello che, pur essendo potenzialmente più preciso, trova
limitata applicabilità. La costruzione di questo modello, dovendo essere effettuata
staticamente, deve essere supportata da un tool in grado di riconoscere il linguaggio
sorgente del programma o addirittura dal compilatore stesso e questo ne accresce
notevolmente la complessità implementativa. Inoltre, per gli execution graphs, in
[7] viene dimostrata una proprietà molto importante, ovvero che il linguaggio rico-
nosciuto da un execution graph è contenuto in quello riconosciuto dal control flow
graph del medesimo programma. Questo significa che, a patto di eseguire un trai-
ning corretto, viene colta praticamente tutta la struttura del programma utile per
l’anomaly detection.
I modelli sono stati presentati in ordine crescente di capacità di rivelare eventuali
anomalie e le loro caratteristiche sono riassunte nella Tabella 2.1. Le relazioni ⊆ e
⊇ in questo caso significano rispettivamente che le sequenze accettate dal modello
sono un sottoinsieme e un soprainsieme di quelle ammissibili dal control flow graph.
All’atto pratico questo si traduce nella presenza di falsi positivi e falsi negativi. In
particolare il modello FSA può riconoscere come non valide transizioni che invece
lo sono, generando falsi positivi (a causa di un training insufficiente) ma può anche
riconoscere come valide transizioni che non lo sono, generando falsi negativi (ad