不審プロセス特定手法の実装及び評価

概要

論文の詳細を見る
通信の特徴を基にマルウェアによる通信を特定する技術が提案されている.しかし,マルウェアの巧妙化や正規アプリケーションの通信の多様化により,通信の特徴からだけではマルウェアの通信と正規アプリケーションの通信とを正確に切り分けることが困難となっている.そこで著者らは,プロセスのメモリイメージを解析することで,不審な通信を生成するプロセスがマルウェアかどうかを判定するプロセス解析システムを提案している.提案システムでは,正規プロセスに不正なコードを注入することで同プロセスになりすますタイプのマルウェアに注目し,感染していないことが保証された仮想マシン上のプロセスと検査対象のプロセスのメモリイメージを比較することで注入されたコードを特定する.さらに同コードの特徴を解析し,同コードが不正なものかを判定する.本システムでは,正規プロセスの正常な動作に関する情報をあらかじめ用意する必要が無い.プロトタイプシステムを実装し,マルウェアと正規プロセスをそれぞれ 4 種類ずつ用いて評価を行った.結果として 1 件ずつ検知漏れと誤検知が発生した.またヒープの抽出に時間を要してしまっていることが判明した.今後は,検知精度及び処理性能の改善を行っていく.
2014-02-27

不審プロセス特定手法の実装及び評価

スポンサーリンク

概要

著者

関連論文

スポンサーリンク