Способ повышения эффективности средств выявления зараженных файлов на основе использования скрытых марковских моделей

• Автор: Эдель, Дмитрий Александрович
• Шифр специальности: 05.13.19
• Научная степень: Кандидатская
• Год защиты: 2013
• Место защиты: Ростов-на-Дону
• Количество страниц: 158 с. : ил.

СОДЕРЖАНИЕ
Обозначения и сокращения
Введение
1. Обзор угроз нарушения безопасности информационных систем вредоносными вложениями в файлах неисполнимых форматов
1.1. У грозы безопасности информационных систем
1.1.1. У гроза отказа в обслуживании
1.1.2. Общая характеристика уязвимостей информационных систем
1.1.3. Угрозы программно-математического воздействия
1.1.4. Анализ статистики средств реализации угрозы НСД
1.1.5. Методы и способы защиты информации от угроз НСД
1.2. Эксплойты: механизм реализации угрозы внедрения
1.2.1. Понятие эксплойта
1.2.2. Причины появления эксплойтов
1.2.3. Время угрозы эксплойта в жизненном цикле уязвимости
1.2.4. Классификация эксплойтов
1.2.5. Защита от эксплойтов
1.2.6. Выводы
1.3. Анализ методов и систем обнаружения эксплойтов
1.3.1. Системы обнаружения эксплойтов
1.3.2. Методы обнаружения эксплойтов
1.3.3. Методы сокрытия эксплойтов от обнаружения
1.3.4. Сравнительная характеристика современных методов обнаружения эксплойтов
1.4. Выводы

2. Модель зараженных файлов неисполнимых форматов
2.1. Модель вредоносных вложений в файлах неисполнимых форматов
2.2. Математическая модель загрузчика эксплойта
2.3. Предварительные замечания
2.4. Разделение неопределенных участков программ на код и данные
2.5. Выводы
3. Способ обнаружения вредоносных вложений в файлах неисполнимых форматов
3.1. Скрытые марковские модели данных и исполнимого кода
3.2. Автоматическое масштабирование
3.3. Способ обнаружения вредоносных вложений на основе СММ
3.4. Выводы
4. Экспериментальные исследования
4.1. Архитектура программного средства
4.2. Режимы работы программного средства
4.2.1. Режим классификации
4.2.2. Режим обучения
4.3. Реализация программного средства
4.3.1. Функциональный блок дизассемблирования
4.3.2. Функциональный блок статического анализа
4.3.3. Функциональный блок классификации
4.4. Взаимодействие с пользователем
4.4.1. Режим обучения
4.4.2. Режим классификации
4.5. Порядок исследований

4.6. Формирование экспериментального набора файлов
4.7. Выполнение подготовительных операций
4.8. Эксперимент
4.9. Выводы
Заключение
Литература

аргументов функций в соответствии со стандартом ANSI С [42], а также то, что программисты, упрощая себе работу, при использовании таких функций не производят всех необходимых проверок входных данных.
Для функции printf количество аргументов вычисляется на основании разбора переданной в нее форматной строки. Ошибка возникает, когда указанное таким образом количество аргументов отличается от реального, помещенного вызывающей функцией в стек. Например, при следующем вызове printf("%s %s %s",a,b), функция printf ожидает на вход 3 переменных типа char*, как описано в стандарте ANSI С, но ей на вход подано только два: а и Ь.
Эксплойты, использующие форматные строки и переполнения буфера, похожи между собой, но только на первый взгляд. Несмотря на то, что в обоих случаях атакующий может переписать адрес возврата или указатель на функцию, а затем вызвать шеллкод для использования уязвимости, ошибки переполнения буфера и форматной строки являются в корне различными.
Функции, которые могут привести к переполнению буфера (например, strcpy), перекладывают проверку выхода за границы буфера на внешний источник. Использование уязвимостей переполнения буфера основано на том, что атакующему удается заменить критически важные данные в памяти своими значениями во время операций копирования строк, реализованных функциями стандартной библиотеки языка С. В данном языке строки являются байтовыми массивами переменной длины, завершающимися байтом со значением 0. Функция strcpy копирует исходную строку в буфер назначения до тех пор, пока в исходной строке не встретится байт-завершитель. Если исходная строка длиннее буфера назначения, функция strcpy осуществляет копирование за границей буфера.
Уязвимости форматной строки возникают из-за включения в форматную строку посторонних данных. Это можно рассматривать как ошибку проверки входных данных, но не имеет ничего общего с ошибками