Un modello integrato control-flow e data-flow per il rilevamento ...

Indice
1 Introduzione 1
1.1 Anomaly detection e system call . . . . . . . . . . . . . . . . . . . . 3
1.2 Obiettivo del lavoro . . . . . . . . . . . . . . . . . . . . . . . . . . . 5
1.3 Struttura della tesi . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5
2 Modelli per l’anomaly detection 9
2.1 Modelli control flow . . . . . . . . . . . . . . . . . . . . . . . . . . . 10
2.1.1 Automi a stati finiti . . . . . . . . . . . . . . . . . . . . . . . 10
2.1.2 VtPath . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 12
2.1.3 Execution graphs . . . . . . . . . . . . . . . . . . . . . . . . . 13
2.1.4 Abstract stack, un modello costruito staticamente . . . . . . 16
2.2 Modelli data flow . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 17
2.2.1 Un modello data flow . . . . . . . . . . . . . . . . . . . . . . 19
2.3 Discussione dei modelli studiati . . . . . . . . . . . . . . . . . . . . . 21
3 Un modello che integra control flow e data flow 25
3.1 Debolezze dei modelli esistenti . . . . . . . . . . . . . . . . . . . . . 25
3.1.1 Primo scenario: vulnerabilità nel codice . . . . . . . . . . . . 26
3.1.2 Secondo scenario: errore di configurazione di un server . . . . 31
3.1.3 Terzo scenario: debolezza delle relazioni binarie . . . . . . . . 34
3.2 Proposta . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 35
3.3 Costruzione del modello . . . . . . . . . . . . . . . . . . . . . . . . . 37
3.3.1 Algoritmo di apprendimento delle relazioni unarie . . . . . . 37
3.3.2 Algoritmo di apprendimento delle relazioni binarie . . . . . . 38
3.3.3 Descrizione dell’algoritmo . . . . . . . . . . . . . . . . . . . . 44
3.4 L’algoritmo completo per la costruzione del modello . . . . . . . . . 46
3.4.1 Relazione con l’algoritmo originale rispetto ai falsi positivi . . 46
3.4.2 Una possibile variante . . . . . . . . . . . . . . . . . . . . . . 47