Un modello integrato control-flow e data-flow per il rilevamento ...

44 3. Un modello che integra control flow e data flow
Algoritmo 4: Algoritmo data flow completo.
for T ∈ T do
for e ∈ T do
learnUnary(arg(e), value(e), stack(e));
learnBinary(arg(e), value(e));
end
end
for R ∈ R do
for X ∈ X do
apply 3.1 to CurRels[R][X]
end
end
L’algoritmo genera una formula logica per ogni argomento X osservato e per ogni
relazione R che si vuole apprendere. Tali formule dovranno essere tutte e sempre
verificate a runtime, in caso contrario si ha un’anomalia che potrebbe corrispondere
ad un’intrusione.
3.3.3 Descrizione dell’algoritmo
Siano dati una traccia T , una relazione R e un valore V . Allora l’algoritmo apprende
quali sono le coppie di argomenti {(xi, xj) : xi, xj ∈ T ∧ (xi, xj) ∈ R}
Se la traccia è composta da un singolo evento (x = v), allora banalmente il
risultato è CurRels[R][x][v] = ∅
Supponiamo ora che la traccia sia composta da più eventi {(x1 = v1), . . . , (xk−1 =
vk−1)}. All’arrivo dell’evento (xk, vk) il valore vk viene cercato nella tabella di lookup
e viene restituito l’insieme Y di tutti gli argomenti xi finora visti che hanno valore
in relazione con vk. Allora si possono manifestare differenti casi:
• CurRels[R][X][V ] = ∅ e Y = ∅: In questo caso non è stata osservata nessu-
na relazione per l’argomento X quando ha valore V che sia valida su tutta
la traccia finora processata. Inoltre non ci sono visti argomenti che hanno
avuto come ultimo valore il valore V . Dunque l’argomento in analisi non ha
nessuna relazione con argomenti passati e in questo caso l’algoritmo apprende
correttamente CurRels[R][X][V ] = ∅
• CurRels[R][X][V ] = ∅ e Y = ∅: Per quanto riguarda la prima parte vale il
discorso fatto al punto precedente. Per quanto riguarda la seconda parte, il
fatto che Y sia non vuoto significa che in passato sono stati osservati parametri
il cui argomento aveva valore in relazione con il valore dell’argomento corrente.