عنوان
ارائه روش واكاوي حافظه با هدف تشخيص روت‌كيت
نويسنده اصلي
ميمنت جليليان فتاحي
مقطع تحصيلي
كارشناسي ارشد
چكيده
چكيده
روت‌كيت به گونه‌اي از بدافزارها اطلاق مي‌شود كه وظيفه‌ي آن‌ها پنهان‌سازي پردازه‌ها و برنامه‌ها از روشهاي معمولي شناسايي و ايجاد دسترسي ممتاز دائمي در سيستم است. هدف از اين پژوهش كشف روت‌كيت‌هايي است كه با استفاده از راهكار تغيير مستقيم اشياي هسته سعي در مخفي نمودن خود و بدافزارهاي جانبي‌شان در حافظه اصلي دارند. در اين پايان‌نامه، ابتدا با معرفي مفاهيم پايه و سپس با بررسي چالش‌هاي موجود در كشف روت‌كيت‌ها، از واكاوي حافظه براي كشف پردازه‌هاي پنهان روت‌كيت‌ها در حافظه استفاده شده‌است. كشف پردازه‌ها مي‌تواند بر اساس اطلاعات سيستم‌عامل و يا مستقل از آن و بر مبناي جستجوي امضاي پردازه‌ها طي پويش حافظه باشد. چالش عمده در اين مسئله غيرقابل اعتماد بودن اطلاعات سيستم‌عامل دستكاري‌شده توسط بدافزار است كه مي‌تواند منجر به ناكارآمدي روشهاي ذكرشده گردد. براي حل اين مشكل، نياز به ايجاد امضايي داريم كه علاوه بر دقت بالاي كشف انواع پردازه‌ها در حافظه، نسبت به دستكاريهاي صورت‌گرفته توسط بدافزارها مقاوم باشد. در اين راستا، ابتدا با استخراج ساختار حدود پنج هزار پردازه از تصوير حافظه‌ي سيستم هاي در حال اجرا، مجموعه‌اي از ساختار داده تهيه شد. سپس با بررسي اين مجموعه، بيت‌هاي با مقدار مشترك بين پردازه‌ها در قالب رشته امضاي پوياي بيتي به دست آمدند. از آنجايي كه ساختار پردازه در هسته به اندازه كافي بزرگ است، همين امضاي بيتي مي‌تواند پردازه‌ها را از ساير داده‌ها در تصوير حافظه متمايز سازد. نوآوري اين پژوهش، در ارائه‌ي "امضاي بيتي پوياي تركيبي" است كه اين امضاي تركيبي با افزودن امضاي سرآمدهاي سيستمي مربوط به پردازه‌ها به امضاي ساختار اصلي ايجاد مي‌شود. جهت تطبيق امضا با پردازه‌هاي جديد، عددي به نام حد آستانه تشابه در نظر گرفته مي‌شود كه مقدار آن براي هر بخش امضاي تركيبي با توجه به اندازه‌ي آن بخش و پس از آزمايش مقادير مختلف تعيين مي‌شود. ارزيابي‌ها نشان مي‌دهد امضاي ارائه شده قادر است تمامي ساختارهاي پردازه حاضر در تصوير حافظه را در زماني كمتر از ساير روشهاي مورد مطالعه بيابد و اعمال حد آستانه تشابه به امضا موجب كشف پردازه‌هاي تغيير يافته مي‌گردد. علاوه بر آن، با توجه به توليد امضا به صورت خودكار و مستقل از محتواي بخشهاي ساختار پردازه، مي‌توان از اين روش براي توليد امضاي ساختار اشياي مختلف در نسخه‌هاي متفاوت از سيستم‌عامل‌هاي مختلف استفاده نمود. روش مورد استفاده به تفصيل در اين پايان‌نامه شرح داده‌شده و از جنبه‌هاي گوناگون مورد بحث و ارزيابي قرار گرفته‌است.
واژه‌هاي كليدي: واكاوي حافظه، تحليل حافظه، روت‌كيت، كشف پردازه‌هاي پنهان، كشف حملات DKOM
شماره ركورد
188672
دانشگاه
دانشگاه علم و صنعت ايران
رشته تحصيلي
نرم‌افزار
استاد راهنما
دكتر سعيد پارسا