Методы построения моделей штатной работы программного обеспечения и алгоритмы выявления аномального поведения программного обеспечения

Предпосылкой к ведению работ в данном направлении является сложившаяся ситуация в сфере информационной безопасности. На данный момент существует множество антивирусов, препятствующих выполнению вредоносного кода. Большинство из них основываются на сигнатурном и эвристическом методах анализа исполняемого файла для выявления вредоносного кода. Однако куда меньшее внимание уделено проблеме выявления и локализации недекларированных возможностей ПО. Так как зачастую антивирусы проводят анализ начальных и конечных частей файла в поисках вредоносного кода и, учитывая, что внедрение компьютерной закладки, приводящей, например, к НСД, может быть осуществлено в середине файла, можно говорить о том, что антивирусы не предоставляют полной защиты в данной области. Также учитывая, что код, приводящий к НСД, сам по себе может не являться вредоносным, становится очевидным, что одни антивирусы не обеспечивают должный уровень защиты данных от НСД и НДВ.

Основной задачей, рассматриваемой в данной статье, является разработка методов и пути реализации программного комплекса по моделированию поведения ПО и нахождения отклонений от штатной работы ПО. Использование такого комплекса подразумевает следующие шаги:

1) моделирование работы ПО на одном компьютере в режиме, который мы заведомо считаем доверенным;

2) использование полученной модели при анализе работы этого ПО на множестве компьютеров с целью выявления аномального поведения.

С точки зрения моделирования всё ПО можно разделить на два класса. Первый - специализированное алгоритмическое ПО (к такому относятся, например, системные службы, службы, работающие в фоновом режиме, и т.д.) и второй - ПО с пользовательским интерфейсом (к каковому относятся прикладные программные пакеты, например, Adobe Photoshop, 1С, Microsoft Office). В первом случае поведение ПО заранее предопределено или имеет мало ветвлений. Моделирование поведения такого ПО не представляет особой сложности — для этого в некоторых ОС даже имеются стандартные приложения (ps-watcher, pwatch, pScan и прочие для Linux). Во втором случае время работы и последовательность действий ПО неизвестны заранее. Именно для этой категории ПО предназначены методы моделирования и нахождения аномалий, представленные ниже.

О поведении ПО можно судить по его взаимодействию с операционной системой: обращение к жёсткому диску, сетевым ресурсам, вызовы функций драйверов, работа с реестром и прочее. Так как при моделировании и проведении последующего анализа использован математический аппарат, необходимо описывать поведение ПО некоторым набором числовых значений — вектором координат. Предлагается описывать поведение процесса количественными, логическими и статистическими характеристиками. Количественные характеристики могут включать в себя такие параметры, как число обращений к системным файлам, библиотекам и прочим ресурсам системы. Логические характеристики описывают общее поведение ПО: создавались ли сетевые соединения, порождались ли дополнительные процессы и прочее. Статистические характеристики могут показывать частоту выделения дополнительной памяти, обращений к жёсткому диску и прочие частотные параметры. Чем более подробной будет информация о взаимодействии процесса с операционной системой, тем более развёрнутым будет вектор, описывающий поведение ПО, и тем более точными будут результаты моделирования и анализа. В дальнейшем вектор, описывающий поведение ПО за некоторое время работы, будем называть профилем работы (рисунок 1).

 

Для того чтобы получать информацию такого рода о поведении ПО потребуется дополнительная система аудита. Она может основываться на журнальных файлах операционной системы или, например, на более подробных данных, полученных на уровне драйвера. При реализации методов моделирования поведения ПО для сбора информации использовалась система “Инсайдер”, разработанная нашей компанией. Основными преимуществами данной системы является высокий уровень подробности информации и применимость к таким системам, как Linux, Unix и Solaris, помимо Microsoft Windows. Структура комплекса аудита, совмещённая с комплексом анализа, представлена на рисунке 2.


Так как уже достаточно долгое время для распознавания образов с успехом используются нейронные сети, было принято решение воспользоваться этим математическим аппаратом в данной работе. В предлагаемом методе моделирования и анализа в качестве модели поведения ПО используется некоторая нейронная сеть, на вход которой подаётся профиль поведения (т.е. вектор координат). Выходом нейронной сети является число от 0 до 1, показывающее вероятность соответствия профиля модели. Для того чтобы получить такую сеть, требуется провести процесс обучения, который заключается во множестве калибровок коэффициентов и смещений нейронов методом обратного распространения ошибки с целью получения результата, близкого к единице.

Учитывая, что каждый рабочий цикл ПО несколько отличается от предыдущего, для более точного обучения нейронной сети на поведение ПО необходимо произвести множество запусков целевого ПО, пройдя множество рабочих циклов ПО (рисунок 3). Во время рабочего цикла желательно выполнить как можно больше различных действий с помощью целевого ПО или выполнить все легитимные действия, разрешённые оператору данного ПО. Дополнительное обучение осуществляется обучением нейронной сети на обратный результат (близкий к 0) на поведении ПО, схожего по функционалу с целевым ПО. 


Учитывая, что поведение целевого ПО заранее неизвестно, необходимо разделять его работу на фазы. В реализации программного комплекса обучения предлагаются алгоритмы, выделяющие в работе ПО фазы трёх типов: запуск, специфические действия и завершение работы. Разделение на фазы работы основывается на анализе активности ПО во времени (условно представлено на рисунке 4). Специфические действия ПО включают в себя все действия, совершаемые по запросу пользователя после того, как произошла загрузка ПО. Таких специфических действий может быть несколько. Для каждого действия каждой фазы создаётся и обучается собственная нейронная сеть.


Таким образом, модель поведения ПО будет состоять из нескольких нейронных сетей – как минимум двух (на запуск и завершение работы). Проверка реальной работы ПО относительно модели проверяется следующим образом. Во время работы ПО модуль анализа динамически разделяет данные о работе на фазы, создаёт вектор, описывающий каждую фазу, и подаёт этот вектор на вход соответствующей нейронной сети. Если результат выхода нейронной сети будет ниже некоторого заданного при обучении порогового значения (например, 0.9), можно говорить о том, что в данной фазе поведения ПО возникла аномалия.

В случае необходимости с использованием логики ИЛИ/И можно установить гибкий или жёсткий порядок выполнения специфических действий. В таком случае любое отклонение от их порядка выполнения будет также считаться аномалией поведения.

На практике предложенная методология позволяет выявлять следующие типы вирусов и вредоносные действия: классические вирусы, трояны, макро-вирусы, НДВ и подмена ПО. В частности, предложенный комплекс обучения и анализа был опробован на таких приложениях как MS Word, MS Excel, Acrobat Reader (версия 8.1.2), Internet Explorer а также ряде специально написанного тестового ПО.

В случае с MS Word тестирование проводилось на нескольких десятках макро-вирусов, все из которых были обнаружены системой анализа на разных этапах работы. Самые известные из этих вирусов включают в себя: Fries.a, Over.a, Want, Nail.a, Antiavs и прочие, совершающие изменения файловой системы и реестра. В случае с Acrobat Reader было выявлено различное поведение приложения на компьютерах с интернет-соединением и без (связанное с автоматическими обновлениями), а также НДВ, связанные с выполнением специально сформированного PDF-файла, который вызвал переполнение буфера и давал возможность выполнить произвольный код на целевой системе.

Дополнительным преимуществом предложенной системы является то, что, составив модель поведения ПО на одном компьютере, её можно использовать для этого же ПО, установленного на других компьютерах с аналогичной операционной системой. Выявленные аномалии в таком случае будут также свидетельствовать об особенностях поведения на компьютерах с другой конфигурацией, то есть о возможных НДВ. Кроме того, разработанный программный комплекс не зависит от операционной системы, под управлением которой работает моделируемое ПО, что позволяет с помощью одного комплекса обучения построить модели поведения приложений как Microsoft Windows, так и Linux, и Solaris и прочих.