Разделение работы по на фазы с целью построения модели работы по Текст научной статьи по специальности «Компьютерные и информационные науки»

5. C. Cowan, C. Pu, D. Maier, J. Walpole, P. Bakke, S. Beattie, A. Grier, P. Wagle, Q. Zhang, and H. Hinton. Stack-Guard: automatic adaptive detection and prevention of buffer-overflow attacks. In Proceedings of the 7th USENIX Security Symposium, January 1998.

6. C. Cowan, M. Barringer, S. Beattie, and G Kroah-Hartman. FormatGuard: automatic protection from printf format string vulnerabilities. In Proceedings of the 10th USENIX Security Symposium, August 2001.

7. James Newsome, Dawn Song. Dynamic Taint Analysis for Automatic Detection, Analysis, and Signature Generation of Exploits on Commodity Software. In Proceedings of the Network and Distributed System Security Symposium, 2005

8. Vulnerabilities in SMBv2 Could Allow Remote Code Execution (975517) http://www.microsoft.com/technet/security/Bulletin/ms09-050.mspx

9. Michael Sutton, Adam Greene, Pedram Amini. Fuzzing: Brute Force Vulnerability Discovery. Addison-Wesley Professional; 1 edition (July 9, 2007)

10. , . .

безопасности для ОС Linux через спутниковый канал // Сборник ЮФУ. Тематический выпуск. Информационная безопасность. Перспектива-2009. - 2009. - С. 210-214.

Благодаренко Артем Васильевич

Технологический институт Федерального государственного образовательного учреждения высшего профессионального образования «Южный федеральный университет» . .

E-mail: artem.blagodarenko@gmail.com.

347928, г. Таганрог, ул. Чехова, 2, корпус "И".

Тел.: 8 (8634) 312-018.

Кафедра безопасности информационных технологий; аспирант.

Blagodarenko Artem Vasilyevich

Taganrog Institute of Technology - Federal State-Owned Educational Establishment of Higher Vocational Education “Southern Federal University”.

E-mail: artem.blagodarenko@gmail.com.

Block “I”, 2, Chehov str., Taganrog, 347928, Russia.

Phone: 8 (8634) 312-018.

The Department of Security of Information Technologies; post-graduate student.

УДК 004.942 - 056.57

С.Д. Жилкин РАЗДЕЛЕНИЕ РАБОТЫ ПО НА ФАЗЫ С ЦЕЛЬЮ ПОСТРОЕНИЯ МОДЕЛИ РАБОТЫ ПО

Статья предлагает подходы к решению задачи .моделирования поведения программного обеспечения (ПО) с целью дальнейшего выявления отклонений ра. -ческом аппарате нейронных сетей. Основная часть статьи посвящена механизму моделирования работы ПО на протяжении всего рабочего цикла путём выявления определённых фаз работы ПО. Рассмотрена эффективность различных способов. Модель работы ПО; аномалии работы ПО; фазы работы ПО; нейронные .

S.D. Zhilkin

DIVIDING THE SOFTWARE'S PERFORMANCE INTO WORK PHASES FOR BUILDING BEHAVIOR MODELS

This article presents methods for solving the task of modeling software’s functioning for further exposure of deflections from functioning model. Modeling methods are based on monitoring systems and neural networks mathematics. The central part of the article focuses on the methods of modeling software’s functioning all over the software’s life cycle by exposing certain phases of software’s functioning. The efficiency of various methods is concerned.

Software’s functioning model; functioning deflections; software’s functioning phases; neural nets.

Введение

Актуальные задачи сферы компьютерной безопасности уже продолжительное время включают в себя задачу построения модели поведения ПО с целью анализа дальнейших действий ПО относительно построенной модели. Во время построения модели считается, что ПО работает в доверенном режиме, что позволяет получить так называемую эталонную модель поведения. Относительно такой эталонной модели затем можно выявлять отклонения поведения ПО. В зависимости от характеристик, которые описывала эталонная модель, отклонения могут показать: превышение полномочий пользователем, вредоносные действия ПО, подмену ПО другим исполняемым файлом и т.д. Отчасти данная задача решена [1]. В частно, , ( , ,

),

дистрибутив средства профилирования, такие как ps-watcher, pwatch и pScan (для Linux-систем). Также существует множество антивирусов, препятствующих выполнению вредоносного кода. Большинство из них основываются на сигнатурном и эвристическом методах анализа исполняемого файла для выявления вредоносно. -ции не декларированных возможностей ПО. Так как зачастую антивирусы проводят анализ начальных и конечных частей файла в поисках вредоносного кода и, учитывая, что внедрение компьютерной закладки, приводящей, например, к НСД, может быть осуществлено в середине файла, можно говорить о том, что антивирусы не предоставляют полной защиты в данной области. Также учитывая, что код, приводящий к НСД, сам по себе может не являться вредоносным, становится оче-,

от НСД и НДВ.

Итак, вредоносный код успешно выявляется антивирусами, а для строго алгоритмизированного ПО существуют методы построения точных моделей поведения, поэтому методы, рассмотренные в данной статье, прежде всего, направлены на выявление НДВ в ПО, поведение которого заранее неизвестно. К такому ПО относятся прикладные программные пакеты, имеющие пользовательский интерфейс (например, Adobe Photoshop, 1C, Microsoft Office). Отличительными особенностями такого ПО являются: множество ветвлений алгоритма работы, частая зависимость выполняемых действий от выбора пользователя, что приводит к их не-

предсказуемости, а также то, что время работы ПО заранее неизвестно. Данные особенности сильно затрудняют решение задачи построения эталонной модели .

Построение модели поведения ПО

О поведении ПО можно судить по его взаимодействию с операционной системой: обращение к жёсткому диску, сетевым ресурсам, вызовы функций драйве, . -дующего анализа использован математический аппарат, необходимо описывать поведение ПО некоторым набором числовых значений — вектором координат. Предлагается описывать поведение процесса количественными, логическими и

. -чать в себя такие параметры, как число обращений к системным файлам, библиотекам и прочим ресурсам системы. Логические характеристики описывают общее : , -ные процессы и прочее. Статистические характеристики могут показывать частоту выделения дополнительной памяти, обращений к жёсткому диску и прочие час.

процесса с операционной системой, тем более развёрнутым будет вектор характе-, , -делирования и дальнейшего анализа. В дальнейшем вектор, описывающий поведение ПО за некоторое время работы, будем называть профилем работы.

, , -буется дополнительная система аудита. Она может основываться на журнальных файлах операционной системы или, например, на более подробных данных, полученных на уровне драйвера. Так как устройство наиболее популярных пользовательских операционных систем (Windows, Ыпих, МаеОБ, Ишх, 8о1ат^) имеет схожие принципы архитектуры (архитектура системных уровней, системных вызовов и т.д.), возможно унифицировать сообщения систем аудита для каждой платформы и создать систему моделирования и анализа ПО, запущенного на любой .

, -

, ,

ПО от эталонной модели. То есть нужен механизм, который сравнивает два вектора координат и некоторым образом сигнализирует о несоответствии одного векто-. -ность: несоответствием является, прежде всего, не количественное отклонение одной координаты в разных векторах, а наличие некоторых характеристик поведе, . задаче распознавания образов.

Так как уже достаточно долгое время для распознавания образов с успехом используются нейронные сети, было принято решение воспользоваться этим математическим аппаратом в данной работе. В предлагаемом методе моделирования и анализа в качестве модели поведения ПО используется некоторая нейронная , ( ). Выходом нейронной сети является число от 0 до 1, показывающее вероятность соответствия профиля модели [2]. Для того чтобы получить такую сеть, требуется провести процесс обучения, который заключается во множестве калибровок коэффициентов и смещений нейронов методом обратного распространения ошибки с целью получения результата, близкого к единице [5].

При обучении следует учитывать, что каждый рабочий цикл ПО несколько отличается от предыдущего [6]. Это, прежде всего, связано с некоторыми оптимизационными механизмами, присущими каждой операционной системе. Так про, ,

, -до меньше времени для повторного обращения к тем же самым ресурсам. Поэтому для более точного обучения нейронной сети на поведение ПО необходимо произвести множество запусков целевого ПО, пройдя множество рабочих циклов ПО ( . 1). -личных действий с помощью целевого ПО или выполнить все легитимные дейст-, . -

( 0)

, .

р* 1

Вероятность соответствия для каждого профиля

, -

ная нейронная сеть. Такой подход может оказаться действенным только в том случае, если ПО - имеет строгий алгоритм работы. В противном случае, даже вектор

( 1).

,

.

Предлагается расширение модели поведения до как минимум трёх нейронных сетей для разных периодов работы ПО. Первая нейронная сеть должна описывать . -вие и обучить нейронную сеть на это действие, что даст вторую сеть. В дополнение к двум сетям, обученным на запуск и характерную черту работы ПО, необходима третья сеть, обученная на завершение работы ПО, так как аномальное поведение или НДВ в целях маскировки может проявляться лишь под завершение ра.

На практике сетей второго рода может быть несколько - столько же, сколько различных характерных действий имеет ПО. Под характерным действием понима-, , , . Или это может быть некоторая совершаемая периодически процедура (например,

). , -, . , -вершение работы некоторых программ очень похожи друг с другом, так как при

Калибровка коэффициентов и смещений нейронной сети

Рис. 1. Обучение нейронной сети на поведение ПО

запуске используют одинаковые стандартные системные библиотеки, а при завершении работы те же самые системные библиотеки выгружается, что порождает ряд одинаковых событий и, следовательно, одинаковые изменения координат опи-.

Таким образом, встаёт задача разделения всей работы ПО на некоторые фазы: , . -дут рассмотрены математические механизмы определения конца одной и начала . , , подготовить информацию о работе ПО в другом виде. На данный момент мы обладаем вектором координат, который описывает работы ПО от запуска до завершения. Это не включает в себя информацию об изменении координат во времени, которая необходима для разделения работы ПО на фазы.

Для разрешения этой проблемы предлагается следующий подход при отслеживании действий ПО: создание и хранение в памяти вектора, накопленного за каждую секунду работы ПО. Если ПО проработало в общей сложности т секунд, мы будем располагать т векторами, что позволит отслеживать активность ПО в каждую секунду, что, в свою очередь, поможет разграничить фазы работы ПО.

Приведём пример представления работы ПО набором таких односекундных векторов. Для наглядности будем считать, что вектор содержит всего 5 координат, описывающих работу ПО. Например, 1-я координата показывает число событий чтения системных файлов, 2-я - число событий записи данных на жёсткий диск и т.д. Предположим, что ПО проработало 16 секунд. Таким образом, мы имеем 16

. , , . 2.

По оси X отложено время работы ПО в секундах. По оси У представлены координаты вектора. Ось Ъ показывает значения координаты. Представление работы ПО в таком графическом виде наглядно разделяет весь жизненный цикл ПО на три

фазы. В примере фаза запуска длится 4-5 секунд, фаза работы - 3-4 секунды, фаза завершения работы - 3 секунды.

Способы разделения работы ПО на фазы

Представив работу ПО набором односекундных векторов, мы получаем чи,

в определённый момент времени. Это является матрицей, пример который приведён в табл. 1, где координаты вектора записаны в столбцах.

Таблица 1

Матрица односекундных векторов

44 30 19 7 1 0 0 13 15 3 0 0 0 0 7 9

27 12 9 5 0 0 0 12 7 4 1 0 0 20 25 22

30 20 10 3 0 0 0 20 14 6 1 0 0 19 15 11

13 8 4 2 0 0 0 7 5 2 0 0 0 13 10 7

15 10 7 3 1 0 0 0 0 0 0 0 0 8 7 9

Воспользовавшись несложными математическими методами, с помощью этих последовательностей можно выделить фазы работы ПО. После того, как фаза выделена, все односекундные вектора, входящие в данную фазу, можно просуммировать и получить обучающий вектор для данной фазы, что, в свою очередь, даст возможность создать нейронную сеть, распознающую поведение в данной фазе.

Для слежения за активностью ПО следует использовать Гёльдеровы нормы односекундных векторов [4]. Гёльдерова норма порядка р для и-мерного вектора вычисляется по формуле [3]:

= р

р

Е\Р

N . (1)

г=1

В данной статье рассмотрим нормы 1-го, 2-го и бесконечного порядков:

, = Я

і =1

(2)

I

і =1

X,

(3)

= тах х.

(4)

То есть активность поведения ПО в некоторый момент времени определяется нормой односекундного вектора для данного момента времени. Таким образом, последовательность односекундных векторов превращается в другую числовую последовательность — последовательность норм векторов.

, , . 2, -

рого порядка (2) будут иметь вид, представленный в табл. 2.

X

2

2

После того, как данные о работе ПО переведены в нормы, легко увидеть время простоя, когда ПО не было занято, и, следовательно, различные фазы работы. На основании табл. 1 можно говорить о трёх фазах, которые имели место с 1-й по 5 секунду, с 8-й по 11-ю и с 14-й по 16-ю. Те же самые выводы были получены для исходных данных, показанных на рис. 2.

Таблица 2

Представление работы ПО с помощью норм

сек. 1 2 3 4 5 б 7 в 9 10 11 12 13 14 15 1б

- ма М2 б2,9 40,1 б, 2 00 о о б, 2 22,2 00 "'t 0 0 31,5 32,4 2В,б

Некоторой проблемой при разделении работы ПО на фазы является наличие шума, то есть некоторых мелких действий ПО, которые не зависят ни от пользователя и выполняются периодически и автоматически. Так например, ПО может раз в определённый интервал пытаться читать данные из сетевого стека TCP/IP, но при этом не находить новых данных. В таком случае будет отмечено единичное обращение. Так как оно не повлекло за собой никаких других последствий, не имеет смысла отмечать это как фазу работы. Такой шум в наборе координат разумнее всего игнорировать. Эти рассуждения приводят к тому, что следует ограничивать фазу не в тот момент, когда норма вектора стала равно 0, а когда она стала ниже некоторой константы C. Величина константы должна подбираться экспериментально в зависимости от выбранной системы мониторинга. Чем более подробную информацию о работе ПО может предоставлять система мониторинга, тем

C. , -

те ПО ведёт к большому числу узконаправленных характеристик, каждая их которых занимает координату. Чем больше координат, тем больше может быть итого, , , -ментальным образом определить величину C для каждого порядка нормы: C1,

с 2исы.

Ещё одним способом разграничения фаз является анализ скорости изменения .

, . 1.

:

*

а г,j = аиj _ аг_и}ч. (5)

В итоге получится матрица, показывающая ускорение каждой координаты в каждый промежуток времени. В случае с матрицей из табл. 1 получится матрица, представленная в табл. 3.

Построив последовательность норм для каждого вектора в такой матрице, можно также судить о начале или конце фазы работы (табл. 4).

Таблица 3

Матрица ускорения координат

44 -14 -11 -12 -6 -1 0 13 2 -12 -3 0 0 0 7 2

27 -15 -3 -4 -5 0 0 12 -5 -3 -3 -1 0 20 5 -3

30 -10 -10 -7 -3 0 0 20 -6 -8 -5 -1 0 19 -4 -4

13 -5 -4 -2 -2 0 0 7 -2 -3 -2 0 0 13 -3 -3

15 -5 -3 -4 -2 -1 0 0 0 0 0 0 0 8 -1 2

Таблица 4

Представление ускорения координат с помощью норм

сек. 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16

Нор ма 114 62,9 23,9 16,0 1П 00 00 о ,6 2 СП 00 15,0 ю о 31,5 о 1П ю

Преимуществом данного подхода является то, что он может выявить фазы работы поверх существенного шума, который может быть обусловлен специфической чертой ПО (например, постоянное обращение к жёсткому диску). Без такого подхода для каждого ПО приходилось бы считать уровень постоянного шума и затем учитывать его при делении работы на фазы.

Также следует учитывать, что некоторые координаты могут быть с точки зрения обеспечения безопасности, важнее остальных. Например, события записи данных в системный реестр имеют большую важность, чем событие открытия текстового файла на чтение. Следовательно, может возникнуть необходимость ввода веса для каждой координаты, что приведёт формулу (1) вычисления нормы порядка р к следующему виду:

р

р

П

Ек\х\Р , (6)

і =1

где ki - некоторая константа, подбираемая для каждой координаты в зависимости от её важности.

Выбор способа разделения работы ПО на фазы

Как было сказано выше, выбор способа разделения работы ПО на фазы сильно зависит от подробности и количества характеристик, которыми описывается , . -ния работы ПО матрицей ускорений координат не требуется, так как постоянный ( , ) , которых задача моделирования работы решена. Прикладные пользовательские пакеты, на моделирование работы которых нацелены методы этой статьи, большую часть своего времени проводят в стадии ожидания. Поэтому для разделения работы ПО на фазы следует использовать обычную матрицу односекундных векторов (табл. 1). Остаётся только выбрать порядок нормы, которой будет оцениваться активность ПО в каждый момент времени. Это полностью зависит от под-

робности и общего числа характеристик, которыми описывается поведение ПО. Например, если для описания поведения есть всего 5 характеристик, следует выбирать норму бесконечного порядка (формула (4)). Такой выбор объясняется тем, что маленькое количество координат означает, что каждая из них имеет большое значение при описании поведения. Следовательно, для отслеживания фазы хватит максимального значения координат вектора в данный момент времени. Уровень шума, который можно игнорировать, следует приравнять минимальному значению , -ние координаты может говорить о начале новой фазы.

Чем больше число характеристик, описывающих поведение ПО, тем более узконаправленными они становятся, тем меньшую роль играют минимальные изменения в какой-нибудь отдельно взятой координате. Поэтому тем ниже должен быть порядок нормы.

В ходе написания данной статьи была выбрана модель поведения ПО с 53 координатами. Они показаны в табл. 5 (для экономии места представлены группами ).

Таблица 5

Координаты, составляющие вектор

№ координат Описание координат

1 - 20 Работа с файловой системой (системные файлы, пользовательские, сетевые, файлы приложений, съёмных носителей)

20 - 24 Работа с библиотеками (запись, открытие, линковка)

25 - 26 Работа с конфигурационными файлами

27 - 30 Работа с документами офисных пакетов и мультимедиа файлами

30 - 36 Работа с системными ключами и значениями реестра (разделение таких веток, как Ьк1т\БоА^аге, Ькси\БоА^аге и т.д.)

37 - 46 Установление или принятие ТСР и ИБР соединений, передача данных

47 - 53 Запуск процессов от имени моделируемого ПО, отношения с другими процессами, характеристики процесса

Для такого набора координат самым удачным оказался выбор нормы второго порядка. Константа для уровня шума С при этом взята равной 3. В таком случае роль шума снижена по сравнению с нормой первого порядка, если шум не превышает значения 1, так как единица, возведённая в квадрат, остаётся единицей.

, -тора X = {1; 0; 0; ... 0; 0; 1; 1; 1} будут сочтены за шум ( XI = лД < 3), что верно 53 . -

ценено как начало новой фазы (||Х|| = 4 > 3). Для того, чтобы не пропустить наиболее критичные события, как шум, некоторым координатам (описывающим события записи, запуска и принятия данных по сети) присвоен вес 2.

,

, -

ния соответствующих нейронных сетей. Чтобы избежать повторного обучения нейронной сети на одно и ту же фазу, следует пропускать вектор для новой обнаруженной фазы через нейронные сети для существующих фаз. В случае высокой

вероятности соответствия считается, что нейронная сеть для этой фазы уже существует, однако её можно дополнительно обучить полученным вектором.

Анализ работы ПО и выявление аномалий

Процесс анализа и выявления аномального поведения ПО использует методы, применяемые при построении модели поведения. Так при запуске ПО начинают накапливаться односекундные векторы работы, чтобы в любой момент была возможность определить конец некоторой фазы и получить общий вектор за опреде-

( , ). -торы пропускаются через соответствующую нейронную сеть модели процесса. Результаты, близкие к 1, на всех нейронных сетях модели говорят о соответствии работы ПО его модели. Если выход на какой-нибудь сети оказался значительно меньше 1, значит, в той фазе, которую данная сеть описывает, обнаружено ано-. , , или превышение полномочий пользователем данного ПО.

Так как есть вероятность наличия в модели ПО нескольких сетей второго ро, -тей. ПО может иметь несколько характерных действий во время работы, однако, не все эти характерные действия могут проявляться одновременно за один жизненный цикл. В таком случае с помощью логических операторов И/ИЛИ можно описать возможный порядок проявления характерных действий ПО, если имеются такие экспертные данные. Если такие данные недоступны, по умолчанию следует выбирать логический оператор ИЛИ для всех характерных действий. Тогда заключение о соответствии работы ПО его эталонной модели будет установлено в том случае, если результат, близкий к 1, будет достигнут хотя бы на одной сети второго рода.

Заключение

Предоставленный механизм обнаружения аномалий с помощью нейронных сетей имеет ряд преимуществ и недостатков. Основным преимуществом является , , и тем самым описывает поведение ПО на протяжении всего рабочего цикла. Также преимуществом является то, что средства создания модели процесса не зависят от операционной системы или платформы, на которой запускается ПО. Тем самым, построив профиль поведения некоторого ПО один раз, можно использовать для , . некоторой экспертной оценки для любого ПО может быть подобран свой набор координат, учитывающий особенности данного ПО, и эти особенности будут заложены в эталонную модель поведения, что значительно повысит её эффективность. Кроме того, предоставленный механизм построения эталонных профилей поведения учитывает работу ПО на протяжении всего жизненного цикла. Немаловажно, что размеры получаемых сетей относительно небольшие (до 150 нейронов), поэтому обработка вектора реального поведения ПО при современных вычислительных мощностях будет производиться почти моментально. То есть обнаружение аномалии происходит почти сразу же после того, как она произошла. Учиты-, , при необходимости возможно дополнительно ускорить вычислительные возможности сетей [8].

Основным недостатком на данный момент является процесс обучения, а

. 40 -

ординат число обучающих векторов для нейронной сети любого рода согласно теории [7] должно быть порядка 10000, однако такое количество учебных прогонов ПО не всегда возможно (и нужно) осуществить [9]. Здесь практика идёт в разрез с теорией, и число обучающих векторов может быть на порядок меньше. Прежде всего это связано со спецификой задачи, так как основная цель обучающего набора заключается в том, чтобы описать как можно больше различных вариантов ( , ), же вариант запуска по много раз. Тем не менее, автоматизированное построение профиля поведения ПО потребует некоторого времени (до нескольких часов) и участия пользователя, а также, желательно, экспертных знаний, что может затруднить процесс построения моделей для всего имеющегося в наличии ПО.

БИБЛИОГРАФИЧЕСКИЙ СПИСОК

1. Ясницкий Л.Н. Введение в искусственный интеллект. - М: Издательский центр “Академия”, - М., 2005. - 176 с.

2. Kevin Swingler Applying Neural Networks. A practical Guide, Pap/Dsk edition, Morgan Kaufmann, 1996. - P. 53 - 55.

3. Дынкин Е.Б., Юшкевич A.A. Управляемые марковские процессы и их приложения.

- М., 1975. - 36 с.

4. Бриллинджер Д. Временные ряды. Обработка данных и теория. - М: Изд-во Мир, 1980. - С. 417 - 420.

5. Harris Drucker, Yann Le Cun Improving Generalization Performance Using Backpropa-gation, IEEE Transactions on Neural Networks, Vol.3, N5, 1992. - P. 991 - 997.

6. Malki H.A., Moghaddamjoo A. Using the Karhunen-Loe've Transformation in the Back-Propagation Training Algorithm, IEEE Transactions on Neural Networks, Vol.2, N1, 1991.

- P. 162 - 165.

7. Paul J. Werbos Backpropagation Through Time: What It Does and How to Do It, Artificial Neural Networks: Concepts and Theory, IEEE Computer Society Press, 1992. - P. 309-319.

8. Крис шов BA., Олешко Д.Н., Лобода A.B. Методы ускорения нейронных сетей // Вестник СевГТУ. Информатика, электроника, связь. - Одесса, 2001. - Вып. 32 - С. 19.

9. Alain Petrowski, Gerard Dreyfus, Claude Girault Performance Analysis of a Pipelined Backpropagation Parallel Algorithm, IEEE Transactions on Neural Networks, Vol.4, N6, 1993.

- P. 970 - 981.

Жилкин Сергей Дмитриевич

- .

E-mail: z-h-i-l-k-i-n@yandex.ru.

115409, г. Москва, Каширское ш., 31.

Тел.: 8 (499) 127-24-50.

Кафедра 43 «Стратегические информационные исследования»; аспирант.

Zhilkin Sergey Dmitrievich

Moscow Engineering Physics Institute.

E-mail: z-h-i-l-k-i-n@yandex.ru.

31, Kashirskoe schosse, Moscow, 115409, Russia.

Phone: 8 (499) 127-24-50.

Chair 43 «Strategic informational researches»; post-graduate student.