Detecting Successful Attacks Based on Emulation of Remote Shellcodes

IPSJ

Bibliographic Information

Other Title
  • リモート型シェルコードのエミュレーションによる攻撃成否判定手法

Description

外部に公開しているサーバは攻撃者からアクセスしやすく，攻撃が頻発しているのが現状である．サーバ管理者や SOC アナリストは IDS から攻撃を示すアラートを受け取り，侵害があったか否かを確認する．攻撃が頻発する現在では通知されるアラートも大量にあるため，迅速に侵害があったアラートを発見することが難しい．本稿では攻撃に利用されるシェルコードに着目し，シェルコードをエミュレーションした際に発生する通信の挙動を基に攻撃の成否を判定する手法を提案する．攻撃の成否を判定することで，侵害につながる重要なアラートを迅速に発見する．実験により，通信機能を有するシェルコードに対して 60.0% 以上の精度で成否判定できること，およびセキュリティコンテストの通信に適用し，得られた効果を示す．

Public servers are easily accessible to attackers, and attacks occur frequently.Server administrators and SOC analysts receive alerts from IDS and check whether attacks are succeeded.However, due to the large number of alerts, it is difficult to handle them quickly.In this paper, we focus on the shellcodes used for attacks.We propose a method to determine the success or failure of an attack based on the behavior of communication of shellcodes.The proposed method discriminates important alerts that lead to compromise.Experiment shows that proposed method can deal with more than 60.0% of shellcodes and can handle practical attack cases.

Journal

Keywords

Details 詳細情報について

Report a problem

Back to top