Исследование методов обнаружения шеллкодов в высокоскоростных каналах передачи данных

• Автор: Гайворонская, Светлана Александровна
• Шифр специальности: 05.13.11
• Научная степень: Кандидатская
• Год защиты: 2014
• Место защиты: Москва
• Количество страниц: 133 с. : ил.

Оглавление
Стр '
Список иллюстраций
Список таблиц
Введение
Глава 1. Задача распознавания объектов
1.1 Математическая модель
1.2 Задача распознавания объектов
1.3 Постановка уточненной задачи распознавания объектов
1.4 Предлагаемый подход к решению задачи распознавания
1.5 Исследование алгоритма
Глава 2. Классификация вредоносного исполнимого кода
2.1 Признаки вредоносного исполнимого кода
2.1.1 Статические признаки
2.1.2 Динамические признаки
2.2 Классификация вредоносного исполнимого кода
Глава 3. Методы обнаружения вредоносного исполнимого кода
3.1 Показатели эффективности методов
3.2 Классификация методов обнаружения шеллкодов
3.3 Основные методы
3.3.1 Статические методы
3.3.2 Динамические методы
3.3.3 Гибридные методы
3.4 Результаты обзора
Глава 4. Инструментальная среда обнаружения шеллкодов ВетогрЬеиз
4.1 Архитектура
4.2 Компоненты системы
4.2.1 Дизассемблирование входного потока

4.2.2 Восстановление служебных структур
4.2.3 Библиотека шеллкодов
4.2.4 Гибридный классификатор
4.3 Испытания прототипа
4.3.1 Тестовые наборы данных
4.3.2 Результаты экспериментов
Глава 5. Заключение
Литература
Приложение А. Алгоритм восстановления 1ГС

Список иллюстраций
1 Жизненный цикл ботнета
2 Состояние стека при вызове функции target_instruction. Указатель RET содержит адрес начала следующей инструкции.
3 Состояние стека после записи шеллкода. Указатель RET содержит адрес шеллкода (не обязательно начала)
4 Типичная структура шеллкода
5 Пример использования средства обнаружения и фильтрации
шеллкодов
1.1 Пример классификатора
1.2 Линейная структура классификаторов
1.3 Возможный пример топологии графа принятия решений
2.1 Многобайтный NOP-эквивалентный след
2.2 Пример батутного NOP-следа
2.3 Пример батутного NOP-следа, исполнимого с каждого смещения
3.1 Пример генерации идентификатора подграфа
3.2 Пример генерации идентификатора подграфа
3.3 Пример генерации идентификатора подграфа
4.1 Инструментальная среда Demorpheus
4.2 Пример работы среды Demorpheus
4.3 Пример части префиксного дерева дизассемблера
4.4 Пример вектора дизассемблированных цепочек

1. T(m) < 0(т21одт), если т = b
2. Т(п) < 0(m2), если m < b
3. Т(п) < 0(mlo9bTn), если m > b2.
Предполагая, что b - эмпирически вычисленная константа с ограниченным значением, можно заметить, что начиная с некоторого m > mo всегда будет выполняться условие 3 Основной теоремы о рекурсии. Таким образом, освобождая параметр к, получаем следующую оценку для процедуры PROCESS_LEVEL в худшем случае:
T(process_level) < 0(kmm2). (1.9)
В среднем случае значение сложности выполнения процедуры принимает вид:
T(PROCES_LEVEL) < 0(kmlogm). (1.10)
Исходя из 1.1 - 1.10, молено сделать вывод, что сложность алгоритма построения оптимальной топологии графа в худшем случае представляется в следующем виде:
T(CONSTRUCT__GRAPH) < m(0(mk) + 0(m2) + 0{mlm2k)
+30(m) + 20(1)) «s 0(mk). (1-11)
Сложность алгоритма построения оптимальной топологии графа в среднем случае представляется в виде:
r(CONSTRUCT_GRAPH) < logm(0(mk) + 0(m2) +
+0{kmlogm) + 30(m) + 20(1)) « 0{k ■ logm ■ mlogm). (1.12)
Несмотря на сравнительно высокую вычислительную сложность алгоритма построения топологии классификатора, алгоритм остается применимым с практической точки зрения в виду нескольких допущений. В первую очередь, будем считать, что число классификаторов, поступающих на вход,