Abstract-Många värdbaserade anomali detektion tekniker har föreslagits för att upptäcka kodinjicering attacker på servrar. De allra flesta, dock, är mottagliga för "mimicry" attacker där den injicerade koden maskerades som den ursprungliga servern programvara, inklusive att returnera rätt service svar, medan genomföra sin attack. "Behavioral avstånd", genom vilken två olika repliker bearbetning samma ingångar övervakas kontinuerligt för att upptäcka skillnader i deras låga nivå (system-call) beteenden och därmed potentiellt kompromissen av en av dem, har föreslagits för att upptäcka imitering attacker. I den här artikeln presenterar vi ett nytt tillvägagångssätt för beteendemässig distansmätning med hjälp av en ny typ av dold Markov-modell, och presenterar en arkitektur som förverkligar detta nya tillvägagångssätt. Vi utvärderar detektionskapaciteten hos detta tillvägagångssätt med hjälp av syntetisk arbetsbelastning och inspelad arbetsbelastning hos produktionswebb- och spelservrar, och visar att det upptäcker intrång med betydligt större noggrannhet än ett tidigare förslag om mätning av beteendeavstånd. Vi beskriver också utformningen och genomförandet av en ny arkitektur, som drar nytta av virtualisering för att mäta beteendeavstånd. Vi tillämpar vår arkitektur för att implementera intrångstoleranta webb- och spelservrar, och genom spårdrivna simuleringar visar vi att den upplever måttliga prestandakostnader även när tröskelvärden ställs in för att upptäcka smygattacker.
Gao m.fl. REF använder Hidden Markov Model (HMM) för att upptäcka komprometterade kopior.
Beyond Output Voting: Detecting Compromised Replicas Using HMM-Based Behavioral Distance
{'venue': 'IEEE Transactions on Dependable and Secure Computing', 'journal': 'IEEE Transactions on Dependable and Secure Computing', 'mag_field_of_study': ['Computer Science']}