Sammanflätad utveckling mellan program attacker och försvar bevittnar utvecklingen av program anomali detektionsmetoder. Nya kategorier av programattacker, t.ex. dataattacker utan kontroll och dataorienterad programmering, kan följa normala spårmönster vid lokala vyer. Denna artikel pekar på bristen på befintliga program anomali detektion modeller mot nya attacker och presenterar lång-span beteende anomali detektion (LAD), en modell baserad på milt sammanhangskänslig grammatikverifiering. Det viktigaste inslaget i LAD är dess resonemang av korrelationer bland godtyckliga händelser som inträffade i långa program spår. Det utvidgar befintlig korrelationsanalys mellan händelser vid en stack ögonblicksbild, t.ex. parad anrop och ret, till korrelationsanalys bland händelser som historiskt inträffade under utförandet. Den föreslagna metoden utnyttjar specialiserade maskininlärning tekniker för att sondera normala program beteendegränser i stora högdimensionella detektionsutrymme. Dess två-steg modellering/detektion design analyserar händelse korrelation på både binära och kvantitativa nivåer. Vår prototyp upptäcker framgångsrikt alla reproducerade verkliga attacker mot sshd, libpcre och sendmail. Detektionsförfarandet ådrar sig 0,1 ms till 1,3 ms overhead för att profilera och analysera en enda beteende instans som består av tiotusentals funktion samtal eller system samtal händelser. Norra Glebe Road, Arlington, VA 22203; e-post: naren@cs.vt.edu; T. Jaeger, 346A IST Building, University Park, PA 16802; e-post: tjaeger@cse.psu.edu. Tillstånd att göra digitala eller papperskopior av hela eller delar av detta arbete för personligt bruk eller klassrum beviljas utan avgift, förutsatt att kopiorna inte görs eller distribueras för vinst eller kommersiella fördelar och att kopiorna är försedda med detta meddelande och den fullständiga hänvisningen på första sidan. Upphovsrätt till delar av detta verk som ägs av andra än upphovsmannen måste hedras. Abstraktering med kredit är tillåten. För att kopiera på annat sätt, eller återpublicera, för att posta på servrar eller för att omfördela till listor, krävs tidigare specifik behörighet och/eller avgift. Begär tillstånd från authoritys@acm.org. 12:2 X. Shu et al. Attacker till program är ett av de äldsta och grundläggande hoten mot datorsystem, som utvecklas och utgör de senaste attackvektorerna och avancerade ihållande hot. Anomaly-baserad intrångsdetektering upptäcker avvikande avrättningar orsakade av attacker, felkonfigurationer, program buggar och ovanliga användningsmönster. Tillvägagångssättet modellerar normala programbeteenden istället för hoten. Det bär inte tid mellan nya attacker och utplacerade motåtgärder som standard försvar gör, som bygger på tillbakablickar av inspekterade attacker. Fördelen med program anomali upptäckt är dess oberoende från attack signaturer. Denna egenskap möjliggör potentiellt proaktiva försvar mot nya och okända hot. Detektion noggrannhet program anomali detektionsmetoder bygger på precisionen i normala program beteende beskrivning och fullständigheten av utbildningen [54]. Primitiva program attacker, t.ex., returadresser manipulation och bibliotek / system anrop injektion, resulterar i stor variation från normala beteenden. Således kan de skiljas från relativt otydliga beskrivningar av normala program beteenden, t.ex. n-gram system call anomali upptäckt [12]. Program anomali detektion modeller utvecklas som attacker dela fler och fler likheter med normala beteenden. Attacker med explicit kontrollflöde manipulation, t.ex., manipulering med returadresser på stacken, är inte längre effektiva på grund av införandet av standard försvarsmekanismer såsom icke-exekverbara stack, adress utrymme layout randomisering, och kontroll-flöde integritet. Nya programattacker utnyttjar indirekta medel för kontrollflödesmanipulation, t.ex. dataorienterad programmering [25], eller missbruksprogram inom lagliga kontrollflöden, t.ex. överbelastningsattacker. De framväxande smygattackerna minskar effektiviteten hos befintliga anomalibaserade intrångsdetekteringsmodeller för att skilja dem från normala programutföranden. Ta subrutinen för fjärrautentisering i sshd som exempel. En angripare kan starta en smygattack genom att skriva över flagga variabel inspelning autentisering resulterar i autentisering subrutinen. Överskrivningen före specifika autentiseringsåtgärder gör det möjligt för angriparen att kringgå kritisk säkerhetskontroll och logga in efter en misslyckad autentisering. Det finns inget olagligt kontrollflöde eller korta onormala systemanropssekvenser i attacken. Därför är det svårt för befintliga modeller att upptäcka. Sshd-attacken innebär brott mot dataintegriteten för att ändra avrättningsbanan. Detta är dock inte nödvändigt. Förnekande av tjänsteattacker och vissa datahämtning attacker utnyttja laglig-men-unusual utförande mönster för att uppfylla effektiva attacker. Sådana attacker kan endast upptäckas med hjälp av befintliga metoder för att upptäcka anomalier i viss utsträckning. Program anomali upptäckt använder exekvering spår för att beskriva program beteenden och söka efter onormala beteenden [52]. De kan abstrakteras som tidigare grammatiktolkar för att validera programspår, och befintliga modeller är begränsade till vanliga grammatiktolkar [11, 12, 28] och kontextfria grammatiktolkar [10, 19, 30, 49]. Vissa omfattande metoder utvidgar deterministiska språktolkar till probabilistiska [15, 22, 36, 63], verifiera några ytterligare data-flöde information [3, 18, 19, 38], eller utföra enkel frekvensanalys [14, 15, 61]. Ingen av dem är dock utformad för att representera en kontextkänslig grammatiktolk, som kan bättre känna igen normala programbeteenden och upptäcka tidigare nämnda attacker. Den viktigaste skillnaden mellan en kontextkänslig grammatikmodell och befintliga (regelbunden eller kontextfri grammatik) modeller är förmågan att korrelera godtyckliga händelser i ett långt program spår. Två segment av kod som utförs under en körning kan korrelera med specifika kontroll- eller datalänkar. Sammanhangskänslig grammatiktolkning möjliggör brytning av händelse korrelationer i långa program spår. Sambanden avslöjar specifika beteendeegenskaper hos normala avrättningar, som kan skilja dem från onormala körningar och attacker. Till exempel bryter den tidigare nämnda sshd-attacken korrelationen mellan autentiseringsresultatet och inloggningsåtgärden. Den fullständiga kontextkänsliga analysen är opraktisk att nå genom en verklig detektion verktyg på grund av icke-polynom utbildning komplexitet [54]. Det är dock möjligt att konstruera parsers som
Shu m.fl. REF analysera korrelationen mellan händelser med hjälp av långspann beteende anomali upptäckt baserad på milt sammanhangskänslig grammatikverifiering.
Long-Span Program Behavior Modeling and Attack Detection
{'venue': 'TOPS', 'journal': None, 'mag_field_of_study': ['Computer Science']}