| DZIEKAN i RADA WYDZIAŁU ELEKTROTECHNIKI, AUTOMATYKI, INFORMATYKI i INŻYNIERII BIOMEDYCZNEJ AKADEMII GÓRNICZO-HUTNICZEJ im. ST. STASZICA W KRAKOWIE |
|
|---|---|
| zapraszają na publiczną dyskusję nad rozprawą doktorską mgr. inż. Bartosza Jasiula |
|
| Modeling of Selected Cyber Threats with Ontology and Petri Nets | |
| Termin: | 17 stycznia 2014 roku o godz. 12:00 |
| Miejsce: | pawilon B-1, sala 4 al. Mickiewicza 30, 30-059 Kraków |
| PROMOTOR: | Dr hab. Marcin Szpyrka, prof. AGH Wydział EAIiIB Akademii Górniczo-Hutniczej |
| RECENZENCI: | Dr hab. inż. Zbigniew Tarapata, prof. WAT Wydział Cybernetyki Wojskowej Akademii Technicznej |
| Dr hab. inż. Grzegorz J. Nalepa Wydział EAIiIB Akademii Górniczo-Hutniczej |
|
| Z rozprawą doktorską i opiniami recenzentów można się zapoznać w Czytelni Biblioteki Głównej AGH, al. Mickiewicza 30 |
|
Modeling of Selected Cyber Threats with Ontology and Petri Nets
Modelowanie wybranych ataków cybernetycznych z wykorzystaniem ontologii i sieci Petriego - tłumaczenie oryginalnego tytułu
mgr inż. Bartosz Jasiul
Promotor: dr hab. Marcin Szpyrka, prof. AGH
Dyscyplina: Informatyka
Rozprawa doktorska prezentuje metodę wykrywania złośliwego oprogramowania (malware), którego kod został zaciemniony (obfuskowany). Zaproponowane rozwiązanie realizuje proces wykrywania ataku dwuetapowo. W pierwszym etapie wyszukiwane są zdarzenia systemowe charakterystyczne dla zamodelowanych typów malware’u. Etap ten wykorzystuje ontologię i wnioskowanie semantyczne do wyselekcjonowania zdarzeń podejrzanych na tle typowej aktywności systemu. W drugim etapie śledzony jest rozwój cech dystynktywnych złośliwego oprogramowania. Na podstawie modeli malware’u w postaci kolorowanych sieci Petriego następuje klasyfikacja i wykrycie określonego typu ataku na system teleinformatyczny.
W pracy przeprowadzono dowód poprzez zaprezentowanie sposobu działania metody oraz przeprowadzenie testów z wykorzystaniem ataków cybernetycznych, których kod został zaciemniony.
Opracowane narzędzie wykorzystujące zaproponowaną metodę modelowania malware’u umożliwia wykrycie złośliwego oprogramowania, dla którego do tej pory nie stworzono statycznych sygnatur kodu. Dzięki zaproponowanemu rozwiązaniu sygnatury ataków mogą zostać szybciej wytworzone i rozdystrybuowane do innych systemów komputerowych uniemożliwiając ich zainfekowanie tym typem ataku.
Rozwój współczesnych ataków cybernetycznych i metod ich ukrywania spowodował, iż obecne systemy sygnaturowe nie są w stanie na bieżąco wykrywać złośliwego oprogramowania, którego ilość przyrasta w zatrważającym tempie. Jak podaje rosyjski producent oprogramowania antywirusowego, liczba malware’u wzrosła z ok. 23,5 mln w 2008 r. do ok. 1,5 mld w 2012 r.
Na podstawie najnowszych badań podaje się, iż ok. 30% organizacji jest zainfekowanych złośliwym oprogramowaniem, pomimo zainstalowanego systemu antywirusowego, blokad firewall i systematycznego korzystania z aktualizacji systemu operacyjnego oraz oprogramowania użytkowego. Spowodowane jest to brakiem sygnatur dla wszystkich typów malware’u oraz stosowaniem przez hackerów różnego rodzaju technik zaciemniania kodu. Detekcja obfuskowanych ataków zajmuje w ponad 80% przypadków tygodnie lub miesiące licząc od pierwszej infekcji. W tym czasie niemal każdy przeprowadzony atak kończył się będzie uzyskaniem przez atakującego zamierzonego celu.
Celowe w takim przypadku wydaje się przesunięcie rubieży obrony do poziomu pojedynczego hosta i obserwacji zachowań systemu operacyjnego oraz zainstalowanego oprogramowania. Istotą takiej obrony będzie zamodelowanie działania obfuskowanego malware’u celem wsparcia procesu wykrywania różnego rodzaju działań niepożądanych.
Biorąc powyższe pod uwagę autor rozprawy stawia tezę, iż:
Metoda modelowania malware’u bazująca na ontologii i kolorowanych sieciach Petriego umożliwia detekcję ataków cybernetycznych, których kod został zaciemniony.
W celu udowodnienia tezy:
Ontologia i wnioskowanie semantyczne zostały użyte do filtrowania, spośród regularnych zdarzeń systemowych, pojedynczych symptomów, które wskazują na działający w systemie malware. Z kolei kolorowane sieci Petriego zostały użyte do śledzenia działania malware’u w zainfekowanym systemie. Odfiltrowane zdarzenia są korelowane w celu znalezienia podobieństwa z zamodelowanymi działaniami niepożądanymi w postaci kolorowanych sieci Petriego. Wynikiem śledzenia malware’u jest alarm składający się z wektora informującego o złośliwej aktywności, podobieństwie do znanych ataków oraz liście symptomów, na podstawie których stwierdzono działanie niepożądane. Skuteczność metody udowodniono poprzez implementację narzędzia PRONTO i wykorzystanie go do wykrycia wybranych typów złośliwego oprogramowania. W rozprawie przeprowadzono dowód w postaci wykrycia trzech różnych typów malware’u przy wykorzystaniu opracowanych modeli ataków cybernetycznych. Opracowane narzędzie PRONTO umożliwia wykrycie zaciemnionego złośliwego oprogramowania, dla którego nie ma stworzonych sygnatur, w ciągu minut lub godzin. Wynik ten jest satysfakcjonujący, gdyż obecne systemy sygnaturowej detekcji malware’u umożliwiają wykrycie złośliwego oprogramowania w ciągu tygodni lub miesięcy od pierwszej infekcji.