Un modello integrato control-flow e data-flow per il rilevamento ...

5
Conclusioni e sviluppi futuri
La sempre maggiore pervasività dei sistemi di calcolo, siano essi computer veri e
propri o dispositivi embedded, impone una sempre maggiore necessità di garantire
la loro sicurezza. Esistono diversi meccanismi e diverse tecniche per raggiungere
questo scopo anche se in ogni caso dare un livello di sicurezza totale non è possibile.
Quello che però è possibile è cercare di creare sistemi di difesa sempre più efficaci e
ad ampio spettro.
I sistemi che implementano le difese si possono classificare in due categorie, quelli
che si occupano di misuse detection, ovvero tramite pattern matching verificano la
presenza di signature di un attacco e quelli che fanno anomaly detection, ovvero che
cercano di capire se sono in atto comportamenti che si discostano dalla norma.
Il monitoraggio delle chiamate di sistema va sotto la classe dell’anomaly detec-
tion: se un processo deve aprire un file e spedirlo via rete, nel momento in cui questo
processo fa una chiamata ad execve() il comportamento esce dalla norma ed è so-
spetto perché ha poco senso che per svolgere suo il compito sia necessario lanciare
un altro processo. L’osservazione delle system call come tecnica di rilevamento delle
intrusioni è nota fin dagli anni ’90 e i modelli che sono stati costruiti sono i più
svariati. In questa tesi sono stati considerati vari modelli esistenti in letteratura che
solo osservando le system call e i loro parametri consentono di apprendere informa-
zioni relative al control flow e al data flow del programma. Dopo aver discusso le
loro caratteristiche sono state messe in luce alcune debolezze, che hanno portato allo
sviluppo di un nuovo modello che tratta in modo integrato control flow e data flow.
Il nuovo modello risolve le debolezze dei precedenti apprendendo le informazioni in
modo più fine.