| Περίληψη |
Το διαδίκτυο είναι γεμάτο από απειλές για την ασφάλεια των Η/Υ. Πολλές επιθέσεις μεγάλης κλίμακας εμπλέκουν αυτο-αναπαραγώμενα προγράμματα που μεταδίδονται από υπολογιστή σε υπολογιστή μέσω του δικτύου και στην πολύχρωμη ορολογία των υπολογιστών ονομάζονται σκουλήκια του διαδικτύου (Internet worms). Πρόσφατα περιστατικά δείχνουν ότι τα worms μπορούν να εξαπλωθούν τόσο γρήγορα ώστε οποιαδήποτε έγκαιρη αντιμετώπιση που στηρίζεται σε ανθρώπινη παρέμβαση είναι αδύνατη, και ώς εκ τούτου, η αρχική αντίδραση σε μια επιδημία πρέπει να είναι αυτόματη. Το πρώτο βήμα για την αντιμετώπιση άγνωστων μέχρι τώρα worms είναι η απόκτηση της δυνατότητας να ανιχνευτούν και να χαρακτηριστούν κατά τα πρώτα στάδια της εξάπλωσης τους. Σε αυτήν την εργασία εξερευνούμε τεχνικές για την ανίχνευση πρωτοεμφανιζόμενων worms. Σημείο εκκίνησης είναι η παρατήρηση ότι όλα τα μέχρι σήμερα γνωστά worms είχαν μεγάλες ομοιότητες μεταξύ των δειγμάτων τους. Στηριζόμενοι σε αυτήν την παρατήρηση παρουσιάζουμε μια μέθοδο ανίχνευσης νέων worms που ονομάζουμε EAR και στηρίζεται στην αναγνώριση ομοιότητας μεταξύ των περιεχομένων των πακέτων που αποστέλονται σε πολλούς προορισμούς. Αξιολογούμε τη μέθοδο χρησιμοποιόντας πραγματική κίνηση που περιέχει πραγματικα worms. Τα αποτελέσματα δείχνουν ότι η μέθοδος μπορεί να ανιχνεύσει νέα worms ενώ ταυτόχρονα ο αριθμός των ψευδών συναγερμών μπορεί να μειωθεί μέχρι και το μηδέν. Όμως, είναι δυνατόν, αν και δεν έχει παρατηρηθεί ακόμα στο διαδίκτυο, οι επιθέσεις να συσκοτιστούν με τρόπο ώστε να μην έχουν κοινά περιεχόμενα μεταξύ των διαφορετικών δειγμάτων του ίδιου worm. Για να αντιμετωπίσουμε αυτό το πρόβλημα, σχεδιάσαμε έναν νέο μηχανισμό ανίχνευσης που ονομάζεται STRIDE και προσφέρει τις παρακάτω τρείς βελτιώσεις ως προς τους προηγούμενους του είδους του: ανιχνεύει επιπλέον είδη επιθέσεων που ξεφεύγουν από προηγούμενες τεχνικές, έχει χαμηλότερο αριθμό από ψευδείς συναγερμούς, και είναι σημαντικά πιο φθηνός υπολογιστικά, και άρα πιο κατάλληλος για χρήση στο επίπεδο του δικτύου. Τέλος, ενσωματώσαμε τους παραπάνω μηχανισμούς σε μια εφαρμογή παθητικής εποπτείας του δικτύου που ανιχνεύει πρωτοεμφανιζόμα worms και παράγει υπογραφές με την μορφή περιεχομένων πακέτων, αριθμού της υπηρεσίας που προσβάλλεται, ή μαύρης λίστας από υπολογιστές που εξαπλώνουν την επιδημία.
|
Ανίχνευση Πρωτοεμφανιζόμενων Worms
