大月勇人, 若林大晃, 瀧本栄二, 齋藤彰一, 毛利公一 立命館大学 名古屋工業大学
|
|
|
- ちとら ままだ
- 6 years ago
- Views:
Transcription
1 大月勇人, 若林大晃, 瀧本栄二, 齋藤彰一, 毛利公一 立命館大学 名古屋工業大学
2 1. 研究背景 2. Alkanet アプローチ Alkanet の構成 監視するシステムコール ログ解析 3. 解析検体内訳 4. サービスを起動する検体 5. まとめ 立命館大学 年 10 月 30 日
3 ( 億種 ) マルウェアが急速に増加! 短時間で解析し, マルウェアの意図や概略を把握したい マルウェアを実行し, 挙動を観測することで解析する動的解析が有効 しかし, マルウェアの巧妙化により, 観測自体が困難となっている アンチデバッグ : 観測ツールを検知し, 観測 解析を妨害する コードインジェクション : 一般のプロセスに感染し, 悪意あるスレッド を潜ませる 立命館大学 年 10 月 30 日 ( 年 ) 2011 年には 4 億 300 万種の新種や亜種が出現! (Symantec のデータより )
4 マルウェアに検知されない観測システムの実現 マルウェアよりも高い権限で動作 マルウェア動作環境への影響を抑制 VMM を検出されないために ハードウェア構成を固定しない ゲスト OS は実マシンのハードウェアをそのまま認識する ゲスト OS と通信せずに内部の情報を得る 立命館大学 年 10 月 30 日
5 マルウェアの意図を理解しやすい情報を提供 粒度の観点から命令単位よりも API 単位の観測が有効 悪意あるスレッドがシステムに影響を与えるには システムコールが必要 悪意あるスレッドを追跡し, 挙動を観測 コードインジェクションを構成する挙動を観測 別プロセスへのメモリ書換え, DLL 挿入, スレッド作成など システムコールの発行元をスレッドレベルで区別 立命館大学 年 10 月 30 日
6 マルウェア観測用 ユーザ モード VM ログ分析 挙動抽出 ロギング用 カーネル モード システムコールをフックし, 情報取得 システムコール観測部 ログ メモリから直接ログを取得 表示 保存 立命館大学 年 10 月 30 日
7 挙動 ファイル レジストリ 仮想メモリ ファイルマッピング プロセス スレッド ネットワーク ドライバ 立命館大学 システムコールの例 NtCreateFile, NtReadFile, NtWriteFile, NtQueryValueKey,NtSetValueKey, NtWriteVirtualMemory, NtProtectVirtualMemory, NtCreateSection, NtOpenSection, NtMapViewOfSection, NtCreateProcessEx, NtTerminateProcess, NtCreateThread,NtTerminateThread, NtSetContextThread, NtDeviceIoControlFile, NtLoadDriver, 7 NtUnloadDriver 2012 年 10 月 30 日
8 1. スレッド作成 Polipos.exe NtCreateThread Cid: c, ProcessName: winlogon.exe => STATUS_SUCCESS 2. スレッドのコンテキスト取得 Polipos.exe NtGetContextThread Cid: c, ProcessName: winlogon.exe => STATUS_SUCCESS 3. メモリ確保 & 権限設定 Polipos.exe NtAllocateVirtualMemory Pid: 370, ProcessName: winlogon.exe, BaseAddress: 0xd90000, Protect: 0x40 (PAGE_EXECUTE_READWRITE), => STATUS_SUCCESS Polipos.exe NtProtectVirtualMemory Pid: 370, ProcessName: winlogon.exe, BaseAddress: 0xd90000, NewProtect: 0x40 (PAGE_EXECUTE_READWRITE), => STATUS_SUCCESS 4. メモリ書き込み Polipos.exe NtWriteVirtualMemory Pid: 370, ProcessName: winlogon.exe => STATUS_SUCCESS 5. スレッドのコンテキスト設定 Polipos.exe NtSetContextThread Cid: c, ProcessName: winlogon.exe => STATUS_SUCCESS 6. スレッドの実行開始 Polipos.exe NtResumeThread Cid: c, ProcessName: winlogon.exe => STATUS_SUCCESS 立命館大学 年 10 月 30 日
9 No. [5212, 5213]: Polipos.exe (Cid: 54c.18c) -> svchost.exe (Cid: 480.2c4) (Code Injection) No. [5288, 5289]: svchost.exe (Cid: 480.2c4) -> svchost.exe (Cid: c) No. [5959, 5960]: svchost.exe (Cid: c) -> svchost.exe (Cid: c) No. [6392, 6393]: svchost.exe (Cid: c) -> svchost.exe (Cid: ) No. [11340, 11341]: svchost.exe (Cid: c) -> svchost.exe (Cid: ) No. [14368, 14369]: svchost.exe (Cid: ) -> rundll32.exe (Cid: 220.7f8) (Code Injection) No. [14546, 14547]: rundll32.exe (Cid: 220.7f8) -> rundll32.exe (Cid: ) No. [11844, 11845]: svchost.exe (Cid: c) -> svchost.exe (Cid: c) No. [15080, 15081]: svchost.exe (Cid: c) -> alg.exe (Cid: 34c.1c8) (Code Injection) No. [15240, 15241]: alg.exe (Cid: 34c.1c8) -> alg.exe (Cid: 34c.5ac) No. [13214, 13215]: svchost.exe (Cid: c) -> svchost.exe (Cid: 480.7e0) No. [16586, 16587]: svchost.exe (Cid: 480.7e0) -> explorer.exe (Cid: ) (Code Injection) No. [16744, 16745]: explorer.exe (Cid: ) -> explorer.exe (Cid: 538.6ac) No. [13802, 13803]: svchost.exe (Cid: c) -> svchost.exe (Cid: ) No. [14422, 14423]: svchost.exe (Cid: c) -> svchost.exe (Cid: 480.2d0) 別プロセスへ挿入されたスレッドを追跡可能 実装の簡単のため, 現在の Alkanet の実装では, マルウェアを認識するのはログ解析時 立命館大学 記録自体は全てのプロセス スレッドに対して行っている 年 10 月 30 日
![Polipos.exe が svchost.exe にスレッド作成 No. [5212, 5213]: Polipos.exe (Cid: 54c.18c) -> svchost.exe (Cid: 480.2c4) (Code Injection) No. [5288, 5289]: svchost.exe (Cid: 480.2c4) -> svchost.exe (Cid: 480.22c) No.](/docs-images/98/136776513/images/10-1.jpg "[5959, 5960]: svchost.exe (Cid: 480.22c) -> svchost.exe (Cid: 480.38c) No. [6392, 6393]: svchost.exe (Cid: 480.22c) -> svchost.exe (Cid: 480.360) No. [11340, 11341]: svchost.exe (Cid: 480.22c) -> svchost.exe (Cid: 480.720) スレッドが派生 No.")
10 Polipos.exe が svchost.exe にスレッド作成 No. [5212, 5213]: Polipos.exe (Cid: 54c.18c) -> svchost.exe (Cid: 480.2c4) (Code Injection) No. [5288, 5289]: svchost.exe (Cid: 480.2c4) -> svchost.exe (Cid: c) No. [5959, 5960]: svchost.exe (Cid: c) -> svchost.exe (Cid: c) No. [6392, 6393]: svchost.exe (Cid: c) -> svchost.exe (Cid: ) No. [11340, 11341]: svchost.exe (Cid: c) -> svchost.exe (Cid: ) スレッドが派生 No. [14368, 14369]: svchost.exe (Cid: ) -> rundll32.exe (Cid: 220.7f8) (Code Injection) No. [14546, 14547]: rundll32.exe (Cid: 220.7f8) -> rundll32.exe (Cid: ) さらに別のプロセスへ感染 No. [11844, 11845]: svchost.exe (Cid: c) -> svchost.exe (Cid: c) No. [15080, 15081]: svchost.exe (Cid: c) -> alg.exe (Cid: 34c.1c8) (Code Injection) No. [15240, 15241]: alg.exe (Cid: 34c.1c8) -> alg.exe (Cid: 34c.5ac) No. [13214, 13215]: svchost.exe (Cid: c) -> svchost.exe (Cid: 480.7e0) No. [16586, 16587]: svchost.exe (Cid: 480.7e0) -> explorer.exe (Cid: ) (Code Injection) No. [16744, 16745]: explorer.exe (Cid: ) -> explorer.exe (Cid: 538.6ac) No. [13802, 13803]: svchost.exe (Cid: c) -> svchost.exe (Cid: ) No. [14422, 14423]: svchost.exe (Cid: c) -> svchost.exe (Cid: 480.2d0) 別プロセスへ挿入されたスレッドを追跡可能 実装の簡単のため, 現在の Alkanet の実装では, マルウェアを認識するのはログ解析時 立命館大学 記録自体は全てのプロセス スレッドに対して行っている 年 10 月 30 日
11 最新のマルウェアに Alkanet はどこまで やれるのか? CCCDATAset2012 の 40 体について解析を行った 選択基準 : カスペルスキーの検出名 立命館大学 11 () 2: Backdoor.Win32.EggDrop.cpc 1 Backdoor.Win32.EggDrop.cpe 1 Backdoor.Win32.IRCBot.jwy 2 Backdoor.Win32.IRCBot.kzr 1 Backdoor.Win32.IRCBot.xu 1 Backdoor.Win32.Rbot.adqd 2 Backdoor.Win32.Rbot.bni 2 Net-Worm.Win32.Allaple.a 5 Net-Worm.Win32.Allaple.b 8 Net-Worm.Win32.Allaple.e 5 Net-Worm.Win32.Kido.dam.am 1 Net-Worm.Win32.Kido.ih 3 Trojan-Dropper.Win32.Injector.bslj 1 Trojan.Win32.Genome.rioo 1 Trojan.Win32.Genome.ujat 1 Trojan.Win32.Inject.achx 1 Trojan.Win32.Jorik.Poebot.bt 1 Trojan.Win32.VBKrypt.imgt 1 Virus.Win32.Virut.av 1 Worm.Win32.Ngrbot.jit 年 10 月 30 日
12 3: () () 33 (82.5%) 17 (85.0%) 24 (60.0%) 10 (50.0%) 2 ( 5.0%) 2 (10.0%) 22 (55.0%) 11 (55.0%) 10 (25.0%) 8 (40.0%) 15 (37.5%) 5 (25.0%) 15 (37.5%) 4 (20.0%) Run 5 (12.5%) 5 (25.0%) LocalServer32 21 (52.5%) 5 (25.0%) 21 (52.5%) 8 (40.0%) /etc/host 2 ( 5.0%) 2 (10.0%) 5 (12.5%) 5 (25.0%) 4 (10.0%) 3 (15.0%) 立命館大学 年 10 月 30 日
13 [P] 896: Injector.exe (pid:7e0, ths:1) Generated by malware executable file. [T] 926: Injector.exe (cid:7e0.7e4, #1204) Generated by malicious process. [P] 3488: Injector.exe (pid:7f0, ths:1) Generated by malicious thread. [T] 3518: Injector.exe (cid:7f0.7f4, #557) Generated by malicious process. [P] 4793: Injector.exe (pid:7f8, ths:1) Generated by malicious thread. [T] 4825: Injector.exe (cid:7f8.7fc, #74 ) Generated by malicious process. [T] 5144: explorer.exe (cid:6c8.74, #16869) Injected by malicious thread. [T] 7882: rundll32.exe (cid:73c.80, #931) Injected by malicious thread. 40 体中 10 体でこのような挙動が確認された 立命館大学 年 10 月 30 日
14 2.0% of logs are malicious. (1970/100706) [P] 886: Allaple.exe (pid:78, ths:1) Generated by malware executable file. [T] 914: Allaple.exe (cid: 78.80, #645) Generated by malicious process. [P] 2148: urdvxc.exe (pid:98, ths:1) Generated by malicious thread. [T] 2178: urdvxc.exe (cid: 98.9c, #449) Generated by malicious process. [P] 3383: urdvxc.exe (pid:a4, ths:1) Generated by malicious thread. [T] 3411: urdvxc.exe (cid: a4.a8, #440) Generated by malicious process. [P] 6820: urdvxc.exe (pid:11c, ths:1) Generated by malicious thread. [T] 6848: urdvxc.exe (cid:11c.118, #436) Generated by malicious process. 記録されたシステムコールの数に対して, マルウェアとして認識された割合が少なすぎる 立命館大学 年 10 月 30 日
15 最初に起動したマルウェアのプロセス マルウェアから起動されたプロセス マルウェアによって作成されたスレッド 立命館大学 年 10 月 30 日
16 services.exe が新たなプロセスを起動していた 39c.4cc services.exe NtCreateProcessEx Pid: a0, ProcessName: urdvxc.exe, \WINDOWS\system32\urdvxc.exe => STATUS_SUCCESS この urdvxc.exe はマルウェアによって作成されたファイル Allaple.exe NtCreateFile \??\C:\WINDOWS\system32\urdvxc.exe => STATUS_SUCCESS Allaple.exe NtWriteFile \WINDOWS\system32\urdvxc.exe => STATUS_SUCCESS services.exe が urdvxc.exe をサービスにするために レジストリを設定していることも記録されていた 39c.230 services.exe NtCreateKey \REGISTRY\MACHINE\SYSTEM\CONTROLSET001\SERVICES\MSWINDOWS => STATUS_SUCCESS 39c.230 services.exe NtSetValueKey \REGISTRY\MACHINE\SYSTEM\CONTROLSET001\SERVICES\MSWINDOWS, Type = 0x110 => STATUS_SUCCESS 39c.230 services.exe NtSetValueKey \REGISTRY\MACHINE\SYSTEM\CONTROLSET001\SERVICES\MSWINDOWS, ImagePath = "C:\WINDOWS\system32\urdvxc.exe" /service, => STATUS_SUCCESS 立命館大学 マルウェアと services.exe の間に通信があったと思われるが, 確認できず 年 10 月 30 日
17 1. マルウェアがファイルを作成 Allaple.exe NtCreateFile \??\C:\WINDOWS\system32\urdvxc.exe => STATUS_SUCCESS Allaple.exe NtWriteFile \WINDOWS\system32\urdvxc.exe => STATUS_SUCCESS 2. services.exe がレジストリを設定 39c.230 services.exe NtCreateKey \REGISTRY\MACHINE\SYSTEM\CONTROLSET001\SERVICES\MSWINDOWS => STATUS_SUCCESS 39c.230 services.exe NtSetValueKey \REGISTRY\MACHINE\SYSTEM\CONTROLSET001\SERVICES\MSWINDOWS, Type = 0x110 => STATUS_SUCCESS 39c.230 services.exe NtSetValueKey \REGISTRY\MACHINE\SYSTEM\CONTROLSET001\SERVICES\MSWINDOWS, ImagePath = "C:\WINDOWS\system32\urdvxc.exe" /service, => STATUS_SUCCESS 3. services.exe が独立したプロセスとして サービス起動 39c.4cc services.exe NtCreateProcessEx Pid: a0, ProcessName: urdvxc.exe, \WINDOWS\system32\urdvxc.exe => STATUS_SUCCESS 立命館大学 年 10 月 30 日
18 これまでの識別方法 最初に起動したマルウェアのプロセス マルウェアから起動されたプロセス マルウェアによって作成されたスレッド 今回追加 マルウェアによって書き込まれたファイルを 実行ファイルして起動されたプロセス 立命館大学 年 10 月 30 日
19 94.1% of logs are malicious. (94775/100706) [P] 886: Allaple.exe (pid:78, ths:1) Generated by malware executable file. [T] 914: Allaple.exe (cid: 78.80, #645) Generated by malicious process. [P] 2148: urdvxc.exe (pid:98, ths:1) Generated by malicious thread. [T] 2178: urdvxc.exe (cid: 98.9c, #449) Generated by malicious process. [P] 3383: urdvxc.exe (pid:a4, ths:1) Generated by malicious thread. [T] 3411: urdvxc.exe (cid: a4.a8, #440) Generated by malicious process. [P] 6820: urdvxc.exe (pid:11c, ths:1) Generated by malicious thread. [T] 6848: urdvxc.exe (cid:11c.118, #436) Generated by malicious process. [T] 3190: services.exe (cid:39c.4cc, #84 ) *** NORMAL PROCESS [P] 4481: urdvxc.exe (pid:a0, ths:5885) = [SERVICE] Generated as service by generated file. [T] 4509: urdvxc.exe (cid: a0.b0, #434) Generated by malicious process. [T] 5489: urdvxc.exe (cid: a0.ac, #20 ) Generated by malicious thread. [T] 6243: urdvxc.exe (cid: a0.bc, #166) Generated by malicious thread. [T] 6628: urdvxc.exe (cid: a0.e4, #27991) Generated by malicious thread. [T] 6638: urdvxc.exe (cid: a0.e8, #2 ) Generated by malicious thread. [T] 6654: urdvxc.exe (cid: a0.ec, #2 ) Generated by malicious thread. 立命館大学 年 10 月 30 日
20 Alkanet は TID レベルで区別 NtCreateThread や NtWriteVirtualMemory などをフック バックトレースとか File のどの辺に書いたかまで取ると 立命館大学 年 10 月 30 日
21 [P] 2332: IRCBot.exe (pid:cc, ths:2) Generated by malware executable file. [T] 2369: IRCBot.exe (cid: cc.e4, #1339) Generated by malicious thread. [T] 9446: IRCBot.exe (cid: cc.10c, #0 ) Generated by malicious thread. [T] 3520: services.exe (cid:39c.21c, #3010) *** NORMAL PROCESS [P] 3638: nservice.exe (pid:e8, ths:285) = [SERVICE] Generated as service by genereted file. [T] 3674: nservice.exe (cid: e8.ec, #356) Generated by malicious thread. 3343: [<-] (39c.42c) services.exe NtCreateKey key_handle:\registry\machine\system\controlset001\services\nservice => STATUS_SUCCESS 3349: [<-] (39c.42c) services.exe NtSetValueKey value_name:type, title_index:0, type:0x4 (REG_DWORD), data_size:0x4, data:+0x110, key_handle:\registry\machine\system\controlset001\services\nservice => STATUS_SUCCESS 3360: [<-] (39c.42c) services.exe NtSetValueKey value_name:start, title_index:0, type:0x4 (REG_DWORD), data_size:0x4, data:+0x2, key_handle:\registry\machine\system\controlset001\services\nservice => STATUS_SUCCESS 3364: [<-] (39c.42c) services.exe NtSetValueKey value_name:errorcontrol, title_index:0, type:0x4 (REG_DWORD), data_size:0x4, data:+0, key_handle:\registry\machine\system\controlset001\services\nservice => STATUS_SUCCESS 3367: [<-] (39c.42c) services.exe NtSetValueKey value_name:imagepath, title_index:0, type:0x2 (REG_EXPAND_SZ), data_size:0x42, data:c:\windows\system32\nservice.exe, key_handle:\registry\machine\system\controlset001\services\nservice => STATUS_SUCCESS 21 立命館大学 2012 年 10 月 30 日
22 1. マルウェアがドライバを作成 smsg.exe NtCreateFile \??\C:\WINDOWS\system32\drivers\sysdrv32.sys => STATUS_SUCCESS smsg.exe NtWriteFile \WINDOWS\system32\drivers\sysdrv32.sys => STATUS_SUCCESS 2. services.exe がレジストリを設定 39c.2f0 services.exe NtCreateKey \REGISTRY\MACHINE\SYSTEM\CONTROLSET001\SERVICES\SYSDRV32 => STATUS_SUCCESS 39c.2f0 services.exe NtSetValueKey \REGISTRY\MACHINE\SYSTEM\CONTROLSET001\SERVICES\SYSDRV32, Type = 0x1 => STATUS_SUCCESS 39c.2f0 services.exe NtSetValueKey \REGISTRY\MACHINE\SYSTEM\CONTROLSET001\SERVICES\SYSDRV32, ImagePath = "\??\C:\WINDOWS\system32\drivers\sysdrv32.sys" => STATUS_SUCCESS 3. services.exe がドライバをロード 39c.2f0 services.exe NtLoadDriver \Registry\Machine\System\CurrentControlSet\Services\sysdrv32 => STATUS_SUCCESS 論文では NtLoadDriver は観測されなかったと書いたが, ログ解析ツールに問題があり, 実際には観測されていた 立命館大学 年 10 月 30 日
23 Alkanet VMM を用いてアンチデバッグを回避する スレッド単位でマルウェアを追跡し, システムコールをトレースする ログを元にマルウェアの特徴的な挙動を抽出するツール群も作成 別プロセス内に作成されたスレッドも追跡可能であることを確認 今年のデータセットの 40 体解析した サービスを起動するようなものが多く見られた 今回, マルウェアの作ったファイルを別のプロセスから起動される場合に対応 今後の課題 より細かくマルウェアによるシステムコールなのか判別可能にする スタックバックトレース, メモリにマップされているファイルの位置, ファイル書き込みの挙動で書き込んだ位置 プロセス間通信の対応 システムコールトレースログを元に異常検知やクラスタリングを行う既存手法に Alkanet のログが利用できるか評価 立命館大学 年 10 月 30 日
( 億 種 ) マルウェアが 急 速 に 増 加! 短 時 間 で 解 析 し, マルウェアの 意 図 や 概 略 を 把 握 したい マルウェアを 実 行 し, 挙 動 を 観 測 することで 解 析 する 動 的 解 析 が 有 効 しかし, マルウェアの 巧 妙 化 により, 観 測 自 体
大 月 勇 人, 瀧 本 栄 二, 毛 利 公 一 立 命 館 大 学 ( 億 種 ) マルウェアが 急 速 に 増 加! 短 時 間 で 解 析 し, マルウェアの 意 図 や 概 略 を 把 握 したい マルウェアを 実 行 し, 挙 動 を 観 測 することで 解 析 する 動 的 解 析 が 有 効 しかし, マルウェアの 巧 妙 化 により, 観 測 自 体 が 困 難 となっている アンチデバッグ:
今週の進捗
Virtualize APIC access による APIC フック手法 立命館大学富田崇詠, 明田修平, 瀧本栄二, 毛利公一 2016/11/30 1 はじめに (1/2) マルウェアの脅威が問題となっている 2015年に4 億 3000 万以上の検体が新たに発見されている マルウェア対策にはマルウェアが持つ機能 挙動の正確な解析が重要 マルウェア動的解析システム : Alkanet 仮想計算機モニタのBitVisorの拡張機能として動作
1 BitVisor [3] Alkanet[1] Alkanet (DLL) DLL 2 Alkanet 3 4 5 6 7 2 Alkanet Alkanet VMM VMM Alkanet Windows [2] マルウェア 観 測 用 VM SystemCall Windows System
![1 BitVisor [3] Alkanet[1] Alkanet (DLL) DLL 2 Alkanet 3 4 5 6 7 2 Alkanet Alkanet VMM VMM Alkanet Windows [2] マルウェア 観 測 用 VM SystemCall Windows System](/thumbs/40/20587794.jpg "1 BitVisor [3] Alkanet[1] Alkanet (DLL) DLL 2 Alkanet 3 4 5 6 7 2 Alkanet Alkanet VMM VMM Alkanet Windows [2] マルウェア 観 測 用 VM SystemCall Windows System")
Computer Security Symposium 2013 21-23 October 2013 Alkanet 525-8577 1-1-1 [email protected], {takimoto, mouri}@cs.ritsumei.ac.jp 466-8555 [email protected] BitVisor Alkanet API DLL A Method
bitvisor_summit.pptx
BitVisor 内蔵の lwip で Alkanet ログの送信を試みる 命館 学システムソフトウェア研究室 下雄也, 明 修平, 瀧本栄, 利公 1 はじめに (1/4) 近年, マルウェアが増加しており, マルウェアの脅威が問題となっている マルウェアの脅威に対抗するためには, 多数のマルウェアを迅速に解析する必要がある システムコールトレーサ Alkanet Windows 上で動作するマルウェアを対象とし,
Windows 上における危険な処理の承認機構の提案 早川顕太 鈴木秀和 旭健作 名城大学理工学部 渡邊晃 はじめにマルウェアは多様化が進み, 不正インストールやスパムメールの送信, 情報漏えいといった様々な活動を行う. これらの活動はバックグラウンドで行われるためユーザが気づくことができないという
Windows 上における危険な処理の承認機構の提案 早川顕太 鈴木秀和 旭健作 名城大学理工学部 渡邊晃 はじめにマルウェアは多様化が進み, 不正インストールやスパムメールの送信, 情報漏えいといった様々な活動を行う. これらの活動はバックグラウンドで行われるためユーザが気づくことができないという課題がある. 本稿では,Windows 上において危険な処理の承認機構を提案することにより, マルウェアがバックグランドで行う活動を防止する.
侵入挙動の反復性によるボット検知方式
侵入挙動の反復性による ボット検知方式 静岡大学酒井崇裕 KDDI 研究所竹森敬祐 NICT 安藤類央静岡大学西垣正勝 1 1 ボットの検知技術 パターンマッチング法 ボットのバイトパターンを定義し マッチングすることで検出する ビヘイビアブロッキング法 ボットの振る舞いを定義し その振る舞いを行っているかを監視することで検出する 2 2 パターンマッチング法 一般的なアンチウイルスソフトの主流 既知のボット検知にあたり
マルウェア対策のための研究用データセット ～ MWS Datasets 2013 ～.pptx
1 2 3 4 5 6 MWS Datasets 2013 MWS Datasets 2013 感染 PC 群 PRACTICE Dataset 2013 サーバ型ハニーポット CCC Dataset 2013 NICTER Darknet Dataset 2013 Darknet scan ボット ワーム クライアント型ハニーポット SandBox D3M 2013 FFRI Dataset 2013
Computer Security Symposium October ,a) API API API Alkanet IDA MWS API Proposal of static analysis assistance method utilizi
Computer Security Symposium 2016 11-13 October 2016 1,a) 1 1 2 1 API API API Alkanet IDA MWS API Proposal of static analysis assistance method utilizing the dynamic analysis log Shota Nakajima 1,a) Shuhei
スライド 1
FFRI Dataset 2016 のご紹介 株式会社 FFRI http://www.ffri.jp Ver 2.00.01 1 Agenda FFRI Dataset 2016 概要 Cuckoo Sandbox 具体的なデータ項目 データの利用例 2 FFRI Dataset 2016 の概要 FFRIで収集したマルウェアの動的解析ログ 2016/1~2016/3に収集された検体 計 8,243
ダンプ取得機能強化サポートオプション Enterprise Edition
株式会社様 ダンプ取得機能強化サポートオプション Enterprise Edition Enterprise Event Recorder for Linux 2017/06 株式会社日立製作所システム & サービスビジネス IoT クラウドサービス事業部オペレーティングシステム本部 1. ダンプ取得機能強化サポート Enterprise Editionの位置付け ダンプ取得機能強化サポート Enterprise
InfoTrace Mark II for Cyber
MWS2019 プレミーティング Soliton Dataset 2019 2019 年 6 月 4 日 株式会社ソリトンシステムズ Soliton Dataset 2019 について エンタープライズ向け EDR 製品である InfoTrace Mark II for Cyber( 以下 Mark II) は 内部不正対策としても利用できるログ取得を行っています この特性は 実際のフォレンジック現場で目にするデータに近いものとしてマルウェア対策研究に役立つと考え
Kullback-Leibler 情報量を用いた亜種マルウェアの同定 電気通信大学 中村燎太 松宮遼 高橋一志 大山恵弘 1
Kullback-Leibler 情報量を用いた亜種マルウェアの同定 電気通信大学 中村燎太 松宮遼 高橋一志 大山恵弘 1 背景 近年 マルウェアの検出数は増加しつつある 亜種関係にあるマルウェアも増加傾向にある マルウェア自動生成ツールの台頭が影響 ZeuS, SpyEye といったツールが蔓延 攻撃者のスキルに依らず 亜種の関係にあるマルウェアを自動的かつ大量に生成可能な環境が整えやすい マルウェアを手作業で分析し
CLUSTERPRO MC ProcessSaver 1.2 for Windows 導入ガイド 第 4 版 2014 年 3 月 日本電気株式会社
CLUSTERPRO MC ProcessSaver 1.2 for Windows 導入ガイド 第 4 版 2014 年 3 月 日本電気株式会社 目次 はじめに 本製品のねらい こんな障害が発生したら 導入効果 適用例 1 適用例 2 ProcessSaver 機能紹介 ProcessSaver とは? 消滅監視の概要 運用管理製品との連携 システム要件 製品価格 保守 / サービス関連情報 購入時のご注意
スライド 1
FFRI Dataset 2014 のご紹介 株式会社 FFRI http://www.ffri.jp Ver 2.00.01 1 Agenda FFRI Dataset 2014 概要 Cuckoo Sandbox 具体的なデータ項目 FFR yarai analyzer Professional 具体的なデータ項目 データの利用例 2 FFRI Dataset 2014 の概要 FFRIで収集したマルウェアの動的解析ログ
CLUSTERPRO MC ProcessSaver 2.3 for Windows 導入ガイド 第 5 版 2018 年 6 月 日本電気株式会社
CLUSTERPRO MC ProcessSaver 2.3 for Windows 導入ガイド 第 5 版 2018 年 6 月 日本電気株式会社 目次 はじめに 本製品のねらい こんな障害が発生したら 導入効果 適用例 1 適用例 2 ProcessSaver 機能紹介 ProcessSaver とは? 消滅監視の概要 運用管理製品との連携 システム要件 製品価格 保守 / サービス関連情報 商標
目次 実習 1 ネットワーク接続状況の確認... 2 実習 2 不審プロセスの確認... 5
実習資料 1 仙台 CTF セキュリティ技術勉強会実習 Volatility Framework によるメモリフォレンジック 平成 29 年 11 月 12 日 仙台 CTF 実行委員会 目次 実習 1 ネットワーク接続状況の確認... 2 実習 2 不審プロセスの確認... 5 本実習の概要 あなたは 架空の企業 株式会社仙台シーテーエフ に入社したばかりの新米情報セキュリティ担当者です 営業所の社員用
Alkanet[1, 2] Alkanet CPU CPU 2 Alkanet Alkanet (VMM) VMM Alkanet Windows Alkanet 1 Alkanet VMM BitVisor[3] BitVisor OS ユーザモード カーネルモード マルウェア観測用 PC VM
![Alkanet[1, 2] Alkanet CPU CPU 2 Alkanet Alkanet (VMM) VMM Alkanet Windows Alkanet 1 Alkanet VMM BitVisor[3] BitVisor OS ユーザモード カーネルモード マルウェア観測用 PC VM](/thumbs/83/87880524.jpg "Alkanet[1, 2] Alkanet CPU CPU 2 Alkanet Alkanet (VMM) VMM Alkanet Windows Alkanet 1 Alkanet VMM BitVisor[3] BitVisor OS ユーザモード カーネルモード マルウェア観測用 PC VM")
Computer Security Symposium 2014 22-24 October 2014 525-8577 1-1-1 [email protected], {takimoto, mouri}@cs.ritsumei.ac.jp 466-8555 [email protected] Alkanet CPU Identifying of System Call
04-process_thread_2.ppt
オペレーティングシステム ~ 保護とシステムコール ~ 山田浩史 hiroshiy @ cc.tuat.ac.jp 2015/05/08 復習 : OS の目的 ( 今回の話題 ) 裸のコンピュータを抽象化 (abstraction) し より使いやすく安全なコンピュータとして見せること OS はハードウェアを制御し アプリケーションの効率的な動作や容易な開発を支援する OS がないと 1 つしかプログラムが動作しない
PowerPoint プレゼンテーション
KeepEye のご紹介 S&J 株式会社 KeepEye のサービスコンセプト 背景 高度化するサイバー攻撃を従来の Firewall やウイルス対策ソフトで防御することは困難になっています 一方で 高度なサイバー攻撃を防御するセキュリティ専門家が運用する前提のツールが複数のベンダーから提供されるようになっていますが 各企業でそのツールを運用するセキュリティ専門家を雇用するのが難しく 実際運用ができずに
Microsoft PowerPoint - OS07.pptx
この資料は 情報工学レクチャーシリーズ松尾啓志著 ( 森北出版株式会社 ) を用いて授業を行うために 名古屋工業大学松尾啓志 津邑公暁が作成しました 主記憶管理 主記憶管理基礎 パワーポイント 27 で最終版として保存しているため 変更はできませんが 授業でお使いなる場合は松尾 ([email protected]) まで連絡いただければ 編集可能なバージョンをお渡しする事も可能です 復習 OS
修士論文進捗報告
TCP フィンガープリントによる悪意のある通信の分析 早稲田大学大学院基幹理工学研究科 後藤研究室修士 2 年 5108B034-7 木佐森幸太 1 研究の背景 ボットの脅威の拡大 検出の難しさ カーネルマルウェアの増加 カーネルモードで動作するマルウェア すべての動作をカーネルモードで実行できるマルウェアをフルカーネルマルウェア (FKM) と呼ぶ FKM は既存 OS の TCP/IP 実装とは異なる独自のネットワークドライバを実装
McAfee Application Control ご紹介
SHieldWARE ファイル改ざん検知 / 防御機能 株式会社富士通ソーシアルサイエンスラボラトリ ファイル変更監視概要 指定したファイル / ディレクトリへの編集操作をリアルタイムで検知 サーバ 不正ユーザー Web コンテンツディレクトリ ログファイルディレクトリ ファイル読込 ファイル書込 事前定義したファイルへの書込を検知しログ出力 事前定義したファイルへの書込を検知しログ出力 改ざん 改ざん
この手の問題を診断する際に Simics は完璧なツールなのですが 実行するためには 問題が発生するプログラムを Simics に取り込まなければなりません すなわち Simics 上で Simics を実行するのです まず Simics 内部に開発ホストの複製を作成します これは何も難しいことでは
Simics 上での Simics のデバッグ 投稿者 :Jakob Engblom,, 2012/12/05 私はたびたび書いたり話したりしていますが Simics は並列処理のバグのデバッグと マルチスレッドやマルチコアシステムの障害に対するデバッグには実に有効です 非常に複雑なアプリケーション 具体的に言えば Simics 自体の上で このことを証明した例を最近経験しました この例は Simics
ESMCommonService 本サービスは 複数の監視サービスで構成されています ESMCommonService サービス本体で検出するイベントを処理します 通報時のイベントログのソース名は "ESMCommonService" で登録されます CPU 負荷監視定期的にシステムのパフォーマンス
ESMFSService 本サービスはファイルシステム ( 論理ドライブ ) の構成, 空き容量監視を行います 本サービスに関するアラートが発生した際には ファイルシステムの空き容量等を確認してくださ イベントビューア アラートビューア ID(16 進 ) 種類 説明 概要 ( トラップ名 ) 詳細 対処 状態色 マネージャエクスプレス通報 備考 Enterprise ID Specific ID
Soliton Dataset 2018 目的 エンタープライズ向けセキュリティログ取得製品を利用し様々なマルウェア動作ログを提供することで マルウェア対策の研究 開発の促進に寄与することを目指します 特長 Windows 上でのマルウェア動作ログ 横展開や MBR 書き換え系マルウェアも可能な範囲
MWS ポストミーティング Soliton Dataset 2018 について 2017 年 12 月 1 日株式会社ソリトンシステムズ 本資料に記載の内容は 2017 年 12 月 1 日時点の予定であり 今後変更の可能性があるものです あらかじめご了承ください Soliton Dataset 2018 目的 エンタープライズ向けセキュリティログ取得製品を利用し様々なマルウェア動作ログを提供することで
マルウェアレポート 2017年10月度版
DDE を悪用したダウンローダーを多く検出 ショートレポート 2017 年 10 月マルウェア検出状況 1. 10 月の概況について 2. DDE を悪用したダウンローダー 3. 新種のランサムウェアの出現 4. マイニングマルウェアの流行 1. 10 月の概況について 2017 年 10 月 1 日から 10 月 31 日までの間 ESET 製品が国内で検出したマルウェアの比率は 以下のと おりです
Soliton Dataset 2018
MWS2018 意見交換会 ( プレミーティング ) Soliton Dataset 2018 2018 年 5 月 30 日 株式会社ソリトンシステムズ Soliton Dataset 2018 について エンタープライズ向け EDR 製品である InfoTrace Mark II for Cyber( 以下 Mark II) は 内部不正対策としても利用できるログ取得を行っています この特性は
スライド 1
1 システムコールフックを使用した攻撃検出 株式会社フォティーンフォティー技術研究所 http://www.fourteenforty.jp 取締役技術担当金居良治 2 お題目 System Call について System Call Protection System Call Hook 考察 3 System Call とは? ユーザアプリケーションからカーネルのサービスルーチンを呼び出す Disk
1 (1) vs. (2) (2) (a)(c) (a) (b) (c) 31 2 (a) (b) (c) LENCHAR
() 601 1 () 265 OK 36.11.16 20 604 266 601 30.4.5 (1) 91621 3037 (2) 20-12.2 20-13 (3) ex. 2540-64 - LENCHAR 1 (1) vs. (2) (2) 605 50.2.13 41.4.27 10 10 40.3.17 (a)(c) 2 1 10 (a) (b) (c) 31 2 (a) (b) (c)
TRQerS - Introduction
TRQerS 導入概要 横河ディジタルコンピュータ株式会社エンベデッドソリューション事業本部サポート部 (ESC-APN-035-02 Dec,25,2015) 1 システムマクロトレースの特徴 製品構成と導入フロー 2 システムマクロトレースの特徴 システムマクロトレース printf ログ出力の発展形 (printf より高速 文字列 / タグ情報 / タスク遷移 / 関数遷移 ) ハードウェアインターフェース
感染条件感染経路タイプウイルス概要 Authplay.dll (aka AuthPlayLib.bundle) を利用する Adobe Reader 9.x ~ より前のバージョンと 10.x から 上記動作環境に一致した環境下で当該 PDF タイプウイルスを実行することで
1. Exploit.PDF.CVE-2010-2883 一般向け情報 1.1 Exploit.PDF.CVE-2010-2883 の流行情報 2011 年 12 月 17 日 朝鮮民主主義人民共和国 ( 北朝鮮 ) の金正日氏の訃報に便乗して発生したウイルスである 今回解析する Exploit.PDF.CVE-2010-2883 は PDF 形式のウイルスであり メールや Web サイトに掲載されることで被害が拡大したと想定される
製品ラインアップ 製品機能
Save the World from IT threats Kaspersky Endpoint Security for Linux 製品説明資料 2017 年 12 月 12 日株式会社カスペルスキーコーポレートビジネス本部 Copyright 2017 Kaspersky Lab. All rights reserved. 製品ラインアップ 製品機能 Kaspersky Endpoint Security
情報漏洩対策ソリューション ESS REC のご説明
ESS-REC for SuperStream の概要について 平成 18 年 6 月 株式会社ソルクシーズ ソリューションビジネス事業本部 セキュリティソリューション部 目次 背景 目的 製品概要 製品概要図 製品構成 機能概要 詳細機能 ハード構成 その他 背景 毎日のように報道される情報漏洩事故や一部企業で問題になっている財務報告に関する虚偽記載など IT の発展によりこれまでに考えられない事件が多発しています
目次 1 Kaspersky Security for Windows Server 概要製品の特長導入の効果 2 製品機能紹介 2
Save the World from IT threats Kaspersky Security for Windows Server 製品説明資料 Ver 1.3 2018/4/11 株式会社カスペルスキーコーポレートビジネス本部 Copyright 2018 Kaspersky Lab. All rights reserved. 目次 1 Kaspersky Security for Windows
<4D F736F F F696E74202D D352E8ED093E08AC28BAB835A834C A BAD89BB82CC8CE492F188C42E707074>
社内ネットワーク環境におけるセキュリティ強化の御提案 クライアント PC 操作ログ インターネットアクセスログ取得環境導入および各拠点へのファイアウォール導入の御提案 株式会社ソフトウェア パートナー 1. 御提案背景 現在 社内システム環境およびネットワーク環境におけるセキュリティ対策として Active Directory を基本とした下記各種対策を実装しておりますが 貴社 IT 環境全体から見たセキュリティ対策として
ログを活用したActive Directoryに対する攻撃の検知と対策
電子署名者 : Japan Computer Emergency Response Team Coordination Center DN : c=jp, st=tokyo, l=chiyoda-ku, Japan Computer Emergency Response [email protected], o=japan Computer Emergency Response Team
橡matufw
3 10 25 3 18 42 1 2 6 2001 8 22 3 03 36 3 4 A 2002 2001 1 1 2014 28 26 5 9 1990 2000 2000 12 2000 12 12 12 1999 88 5 2014 60 57 1996 30 25 205 0 4 120 1,5 A 1995 3 1990 30 6 2000 2004 2000 6 7 2001 5 2002
ライフサイクル管理 Systemwalker Centric Manager カタログ
for Oracle Oracle Live Help ICTシステム管理 安定稼働 わかりやすい監視と復旧支援 監視コンソールを統合化 わかりやすい監視画面 リモート操作による対処復旧 Windowsや各種Unix Linux メインフレーム 遠隔地のサーバやクライアントの画面を 管理者 など マルチプラットフォーム環境の統合運用管理 の手元の画面から直接操作できます 複数のパソ が可能です
内容環境... 3 対応 OS の変更... 3 関連アプリケーションの追加... 4 機能追加... 5 グラフ機能... 5 稼働率... 8 サービス一括削除 自動復旧エスカレーションコマンド AWS カスタムメトリックス監視 NRPE 任意監視... 11
株式会社エクストランス X-MON 3.3.0 アップデート内容 内容環境... 3 対応 OS の変更... 3 関連アプリケーションの追加... 4 機能追加... 5 グラフ機能... 5 稼働率... 8 サービス一括削除... 10 自動復旧エスカレーションコマンド... 10 AWS カスタムメトリックス監視... 11 NRPE 任意監視... 11 IIS 再起動コマンド Windows2012R2
Red Hat Enterprise Linuxのcron(8)デーモンにデフォルト定義されたtmpwatch命令の動作による、WebOTXのトラブル対処方法
Red Hat Enterprise Linux の cron(8) デーモンにデフォルト定義された tmpwatch 命令の動作による WebOTX のトラブル対処方法 2009 年 2 月 NEC 第二システムソフトウェア事業部 1. 概要 Red Hat Enterprise Linux では OS インストール後の初期状態において cron(8) デーモンによって実行される命令が複数定義されます
今さら聞けない!? Oracle入門 ～後編～
Oracle Direct Seminar 今さら聞けない!? Oracle 入門 ~ 後編 ~ 日本オラクル株式会社 Agenda 1. Oracle の基本動作 2. Oracle のファイル群 3. Oracle のプロセス群と専用メモリ領域. データベース内部動作 今さら聞けない!? オラクル入門 ~ 後編 ~. データベース内部動作 検索時の動作更新時の動作バックアップについて
2014 年電子情報通信学会総合大会ネットワークシステム B DNS ラウンドロビンと OpenFlow スイッチを用いた省電力法 Electric Power Reduc8on by DNS round- robin with OpenFlow switches 池田賢斗, 後藤滋樹
ネットワークシステム B- 6-164 DNS ラウンドロビンと OpenFlow スイッチを用いた省電力法 Electric Power Reduc8on by DNS round- robin with OpenFlow switches 池田賢斗, 後藤滋樹 早稲田大学基幹理工学研究科情報理工学専攻 1 研究の背景 n インターネットトラフィックが増大 世界の IP トラフィックは 2012
6-2- 応ネットワークセキュリティに関する知識 1 独立行政法人情報処理推進機構
6-2- 応ネットワークセキュリティに関する知識 1 6-2. ネットワークセキュリティに関する知識 OSS 動作環境におけるセキュリティリスク それに対応するセキュリ ティ要件とその機能 構成に関して 実際の開発 運用の際に必要な Ⅰ. 概要 管理知識 手法の種類と特徴 内容を理解する 特に Linux サーバ による実務の手順に即して ネットワークセキュリティを確保するため の手順を学ぶ Ⅱ.