Khả năng ứng dụng của khoa học máy tính lý thuyết trong nghiên cứu phần mềm độc hại


8

Tôi muốn biết tầm quan trọng của TCS trong nghiên cứu phần mềm độc hại. Do khối lượng lớn các biến thể phần mềm độc hại mới nhận được mỗi ngày (~ 50.000 mẫu / ngày theo McAfee), các nhà nghiên cứu phần mềm độc hại phụ thuộc rất nhiều vào phân tích động (tức là chạy các mẫu trong hộp cát và theo dõi hành vi của chúng) và tránh xa phân tích tĩnh và Kỹ thuật đảo ngược vì các phương pháp này rất tốn thời gian và đôi khi trở nên rất khó khăn do mã hóa / mã hóa.

Tôi đã tìm thấy một cuộc nói chuyện rất hữu ích (BlackHat 2010) của Greg Hoglund về Malware attributionviệc người nói nói về tầm quan trọng của việc đưa các tác giả phần mềm độc hại và mạng của họ vào bức tranh mang lại thông tin có giá trị hơn là chỉ phân tích chính nhị phân.

Tôi có hai câu hỏi:

  1. Nếu các nhà nghiên cứu phần mềm độc hại tiến tới phân tích hành vi của các tác giả phần mềm độc hại và mạng của họ, thì trong tương lai TCS có bất kỳ tầm quan trọng nào trong nghiên cứu phần mềm độc hại.
  2. Vì tôi không mạnh về TCS, tôi muốn biết chính xác TCS phù hợp với nghiên cứu phần mềm độc hại ở đâu.

Cảm ơn bạn.


rất nhiều thuật toán phần mềm độc hại dựa trên cơ sở dữ liệu của mã băm của các chương trình "có hại". vì vậy lý thuyết hashcode có liên quan. một lĩnh vực nghiên cứu tích cực khác là tạo ra các "hộp cát" chống đạn ... sẽ trích dẫn một số giới thiệu về vấn đề này nếu câu hỏi được nêu lên
vzn

Tra cứu các cách tiếp cận dựa trên ngữ nghĩa để phát hiện phần mềm độc hại để tiếp cận với nhiều lý thuyết hơn.
Vijay D


Có một cuốn sách gọi là "Mật mã độc hại" với ý tưởng về cách sử dụng TCS trong phần mềm độc hại.
sdcvvc

Câu trả lời:


1

Fred Cohen là một nhà chức trách và nhà nghiên cứu ban đầu về lý thuyết về virus máy tính. xem trang wikipedia để tham khảo. bài báo năm 1987 của ông được công nhận là sự tương tự đầu tiên của vấn đề kiểm tra virus đối với vấn đề tạm dừng.

ý tưởng cơ bản là tạo ra một chương trình X gọi chương trình con kiểm tra virus với mã chương trình là tham số. sau đó, nếu chương trình con trả về "là virus", hãy thoát. nếu nó trả về "không phải là virus", hãy lây nhiễm vào hệ thống. một chương trình như vậy không thể tồn tại bằng cách chéo / mâu thuẫn, chuyển mã của chính nó làm tham số. do đó không có trình kiểm tra virus hoàn hảo.

nhưng có vẻ như một phản biện dễ dàng cho tuyên bố này có thể là, chương trình X chứa một phần mã có hại và không liên quan đến việc nó có được gọi hay không - chương trình có khả năng gây hại nếu chứa bất kỳ "phần mã có hại" nào.

khi tôi nhớ lại kết quả này đã được công bố riêng trong một tạp chí toán học nhưng không thể tìm thấy tài liệu tham khảo ngay bây giờ.

một chủ đề gần đây / nâng cao hơn là phát hiện các virus đa hình thay đổi mã của chúng theo những cách tương đương nhưng ngẫu nhiên.

một cách tiếp cận đầy hứa hẹn khác dường như tránh được vấn đề tạm dừng (theo cách thể hiện "định lý không đi" lý thuyết trừu tượng có thể gây hiểu lầm hoặc thậm chí không thể áp dụng trong thực tế) là tạo ra một "hộp cát" an toàn trong đó một chương trình có thể chạy nhưng không thể làm bất cứ điều gì có hại.

trình duyệt web hiện đại có thể được coi là một nỗ lực để xây dựng một hệ thống như vậy. sự phức tạp của việc bảo mật nó phát sinh chủ yếu với Javascript.

Google đang xây dựng khung NaCL [3] có nguồn gốc một phần từ giới hàn lâm và là ứng cử viên hàng đầu hiện nay cho hệ thống hộp cát chức năng cao được tích hợp vào trình duyệt hiện đại vẫn cho phép mã máy. một trình kiểm tra phần mềm có thể chứng minh an toàn xác nhận các chương trình ứng cử viên. có những cải tiến mạnh mẽ gần đây được công bố [4].

một ý tưởng mới lạ gần đây là sử dụng phân tích dựa trên biểu đồ của dấu vết thực hiện [5].

một chủ đề gần đây của ảo hóa có nhiều ý nghĩa / ứng dụng bảo mật khác nhau như bạn lưu ý, ví dụ như các nhà cung cấp vi-rút xây dựng các hệ thống ảo hóa để tìm / phát hiện vi-rút, vv [6]

sự tinh vi của virus stuxnet gần đây , rõ ràng là virus được phát triển bởi nhà nước / cơ quan quân sự được tài trợ bởi chính phủ cho các mục đích mạng / gián điệp / phá hoại, đã dẫn đến nghiên cứu học thuật nghiêm túc / nặng nề, xem các tài liệu tham khảo sâu rộng trên wikipedia. có một biến thể gần đây / mới được phát hiện nhắm vào ngành công nghiệp tài chính gọi là ngọn lửa .

[1] Một loại virus máy tính không thể phát hiện David M. Chess và Steve R. White

[2] Xu hướng nghiên cứu virus máy tính Cohen, 1991

[3] Máy khách gốc: Một hộp cát cho mã gốc di động, không tin cậy x86 của Yee et al 2009

[4] NaCl nhường chỗ cho RockSalt: Các nhà khoa học máy tính phát triển một công cụ để cải thiện sự cô lập lỗi phần mềm 2012

[5] Phát hiện phần mềm độc hại dựa trên đồ thị bằng phân tích động của Anderson et al

[6] Phát hiện phần mềm độc hại dựa trên biến thái và ảo hóa bằng cách sử dụng Đặc tả đại số của Webster, Malcolm


phụ lục, đây là một bản giới thiệu tuyệt vời khác từ năm 2003 về vi-rút slammer của moore et al , có thể là vi-rút lây lan nhanh nhất trong lịch sử của tất cả các phần mềm độc hại. một số nghiên cứu khoa học / bài báo về nó cũng có.
vzn
Khi sử dụng trang web của chúng tôi, bạn xác nhận rằng bạn đã đọc và hiểu Chính sách cookieChính sách bảo mật của chúng tôi.
Licensed under cc by-sa 3.0 with attribution required.