Towards Model-based Run-time Cybersecurity: On Control-Flow Anomaly Detection, Attack Identification, and Hardware Monitoring
Di cosa parla
Si propone di rendere più robusta la difesa contro attacchi controllando in tempo reale come un programma procede e confrontando due osservazioni indipendenti: una dal software e una da un livello più basso che guarda la sequenza effettiva di esecuzione. Così, una deviazione che il software interpreta come innocua può essere rivelata dal secondo osservatore come iniezione di codice o dirottamento del flusso, ostacolando il camuffamento degli attacchi.
Cosa permette di osservare
Consente di esplorare se combinare osservazione software e controllo a un livello più basso rende più difficile per un attaccante camuffare le proprie azioni e come questa scelta cambia la precisione nel diagnosticare il tipo di intrusione.
Dalla fonte
Methods to increase the resilience of systems to cyber-attacks become increasingly important. Control-flow monitoring provides a principled basis to ensure integrity and detect possible anomalies at run-time. Once anomalies have been detected, so-called attack trees can be used to identify possible types of attacks. However, this approach is vulnerable to camouflage, by which attackers try to evade detection (and correct identification) by deliberately manipulating also the system's observed control flow. In this paper, we outline a model-based approach that provides more robust intrusion detection and attack identification through an architecture that combines software- with hardware-based monitoring. In this approach, software-level observation indicates suspicious activities, while hardware-level monitoring checks them separately in more detail, making it much harder for attacks to c…