Abstrakt. Nätverksnivå emulering har nyligen föreslagits som en metod för korrekt upptäckt av tidigare okända polymorfa kodinjicering attacker. I det här dokumentet utökar vi emuleringen på nätverksnivå i två riktningar. Först presenterar vi en förbättrad utförande beteende heuristic som möjliggör upptäckt av en viss klass av icke-självförsörjande polymorfa skalkoder som för närvarande missas av befintliga emulation-baserade metoder. För det andra presenterar vi två generella algoritmiska optimeringar som förbättrar körtidens prestanda hos detektorn. Vi har implementerat en prototyp av den föreslagna tekniken och utvärderat den med hjälp av icke självförsörjande polymorfa skalkodsmotorer och godartade data. Detektorn uppnår ett blygsamt processflöde, vilket dock är tillräckligt för anständig körningsprestanda vid faktiska driftsättningar, samtidigt som det inte har gett några falska positiva resultat. Slutligen rapporterar vi attackaktivitetsstatistik från en sju månader lång installation av vår prototyp i ett produktionsnätverk som visar hur effektivt och praktiskt vårt tillvägagångssätt är.
Det föreslagna tillvägagångssättet är robust för obfuscation tekniker som självmodifieringar och icke-självförsörjande polymorfa skalkoder REF.
Emulation-based Detection of Non-self-contained Polymorphic Shellcode
{'venue': 'RAID', 'journal': None, 'mag_field_of_study': ['Computer Science']}