Модель и метод анализа схожести и определения авторства вредоносного кода

• Автор: Стремоухов, Всеволод Дмитриевич
• Шифр специальности: 05.13.19
• Научная степень: Кандидатская
• Год защиты: 2013
• Место защиты: Санкт-Петербург
• Количество страниц: 95 с. : ил.

Оглавление
Введение

Глава 1: Постановка задачи и анализ существующих методов решения

1.1 Постановка задачи

1.2 Существующие методы решения задачи

1.2.1 Метод на основе энтропийной классификации с помощью сжатия

1.2.2 Частотный анализ

Глава 2: Модель

2.1 Исходные положения

2.2 Формулировка модели

Глава 3: Расчетно-вычислительный комплекс

Глава 4: Анализ модели на основе статистических данных
4.1 Проверка однородности матриц переходных вероятностей
4.2 Проверка эффективности представления матрицы переходных вероятностей в виде двумерного образа
4.3 Проверка эффективности обнаружения авторства
4.4 Анализ увеличения скорости детектирования
4.5 Анализ увеличения коэффициента автоматизации
Список использованной литературы

Введение
В настоящее время эпидемии компьютерных вирусов и других вредоносных программ наносят огромный ущерб различным организациям и отдельным пользователям компьютеров. За последние 15-20 лет распространение вредоносного кода, носившее локальный характер, превратилось в глобальные эпидемии сетевых червей, не требующих для распространения участия пользователей. Работа и функционирование многих структур и организаций тесно связана или полностью зависит от глобальных сетей. Сетевые черви, размножающиеся в неограниченном количестве, забивают каналы передачи информации, тем самым нанося огромные убытки, не говоря уже о том, что код современного червя как правило содержит деструктивную нагрузку, что приводит к потере или утечке важной и конфиденциальной информации.
Современное программное обеспечение также не способствует снижению числа новых эпидемий вредоносных программ. Новые уязвимости в различных программах находят практически каждый день, производители программного обеспечения не всегда оперативно их устраняют, а готовые заплатки устанавливаются очень медленно. Некоторые пользователи и технический персонал сетей никак не заботятся о безопасности собственных компьютеров. Определенную роль в распространении вирусов играет и человеческий фактор: неопытные пользователи, не задумываясь, открывают все почтовые вложения, через которые распространяются многие вредоносные программы. Также многие пользователи не заботятся о регулярном обновлении антивирусных программ.
Однако, без сомнения, одним из основных факторов, стимулирующих распространение вредоносного кода (ВК), является трудность поиска автора - в бинарном объекте трудно найти улию! в классическом их понимании. В результате, у вирусописателей создаётся ощущение абсолютной безнаказанности. Новые вредоносные программы появляются каждый день, а случаи обнаружения их создателей единичны и связаны только с наиболее известными образцами вредоносного кода. Безнаказанность, возможность прославиться и применить свои
навыки программирования привлекают многих в создании и распространении вредоносных программ. Для применение к ним соответствующих мер, предусмотренных законодательством необходимо доказать причастность конкретного человека к созданию вредоносной программы. В качестве одного из доказательств в судебных процессах применяется графологическая экспертиза. Было бы удобно, если нечто подобное можно было применить к исполняемому коду.
Проблема определения авторства, распределения различных текстов по заданным категориям с помощью машины и другие подобные задачи достаточно давно интересуют различных ученых: математиков, лингвистов, специалистов по компьютерным технологиям и проблемам искусственного интеллекта. Для естественных языков были разработаны различные методы, позволяющие, в частности, определить авторство того или иного текста. Таких методов несколько, но все они так или иначе сводятся к анализу схожести представленного текста с одним или несколькими текстами, авторство которых заранее известно. Эти методы, после соответствующей доработки, можно применить для исполняемого кода. При наличии образцов кода различных авторов, можно с некоторой степенью вероятности определить, какому автору принадлежит исследуемая вредоносная программа.
Проблема определения авторства вредоносного кода, помимо правоохранительных органов, также остро стоит перед антивирусными компаниями. Одной из основных проблем, стоящих перед современными антивирусными компаниями является обработка так называемого "входного потока" - объектов, поступающих на вход вирусной лаборатории, по каждому из которых необходимо в максимально короткое время вынести вердикт -вредоносный ли это объект. В случае положительного вердикта объект добавляется в вирусную коллекцию, с него снимается сигнатура, которая попадает в антивирусную базу. В современном мире время от появления вредоносного объекта в "дикой среде" до появления его сигнатуры в антивирусной базе на компьютере конечного пользователя исчисляется всего лишь десятками минут и

Глава 3: Расчетно-вычислительный комплекс
Для получения решения уравнений, описывающих модели построения матриц переходов при реализации цепей Маркова и их применении в отношении программного кода, в данной работе использовалась система компьютерной алгебры Wolfram Research Mathematica 9.0. Данный продукт представляет собой комплекс из множества математических прикладных приложений, позволяющий значительно сократить время анализа данных. Данная система использовалась для сравнения экспериментальных данных, полученных в результате вычислений и визуализации полученных результатов, что значительно упрощает восприятие конечных данных.
Data Visualization
Using a host of original algorithms developed at Wolfram Research, Mathematica provides powerful functions that automate the process of creating cognitively and aesthetically compelling representations of structured and unstructured data—not only for points, lines, and surfaces, but also for graphs and networks.
» Learning Resources
«. Featured Examples 1 15 »
Compare Two Fits in an Optimization Problem
Analyze Words in a Block Chart Trading Values and Compare Stock Returns
of Text Volume of a Security v*th a Paired Histogram
* Reference
ListPlot — plot lists of points
ListLinePlot — plot lines through lists of points
ListLogPlot - ListLogLinearPlot ListLogLogPlot - ListPolarPlot
Puc. 3.1 Образцы возможностей no визуализации, предоставляемые Wolfram Research Mathematica 9.0, а также некоторые соответствующие им функции