Systemskyddsmekanismer som åtkomstkontroller kan luras av auktoriserade men skadliga användare, maskörer och felsökare. Inkrementell detektionsteknik används därför för att komplettera dem. Skadorna kan dock ha uppstått innan ett intrång upptäcks. I många datorsystem kan kravet på en hög grad av sundhet av intrångsrapportering ge dålig prestanda när det gäller att upptäcka intrång, och kan orsaka lång detekteringslatens. Till följd av detta kan allvarliga skador orsakas antingen på grund av att många intrång aldrig upptäcks eller på grund av att den genomsnittliga detektionslatensen är för lång. Processen att begränsa de skador som orsakas av intrång under processen för att upptäcka intrång kallas intrångsförbud. Vi rättfärdigar nödvändigheten av intrångsförbud under upptäckt av en probabilistisk analysmodell, och föreslår en allmän lösning för att uppnå intrångsinneslutning. Lösningens crux är att isolera sannolika misstänkta åtgärder innan en definitiv bestämning av intrång rapporteras. Vi presenterar också ett konkret isoleringsprotokoll i filsystemets sammanhang för att utvärdera genomförbarheten av den allmänna lösningen, som kan tillämpas i många typer av informationssystem.
I REF presenteras ett konkret system för isolering av filsystem.
Intrusion Confinement By Isolation In Information Systems
{'venue': 'Journal of Computer Security', 'journal': 'Journal of Computer Security', 'mag_field_of_study': ['Computer Science']}