1- Introdução sobre Vigilante: Worms Containment (contenção de vírus):
Worm Contaiment deve ser automática para ter alguma chance sucesso, pois
os vírus espalham rápido de mais nos sistemas. Um exemplo é o vírus Slammer onde
ele infectou 90% dos hosts que estavam vulneráveis em 10 minutos. Trabalhos
recentes têm feito abordagens em nível de rede, para analisar o trafego das redes e o
numero de encaminhamento de vírus na rede. É difícil fornecer garantias sobre os
falsos positivos e os falsos negativos, pois não há informações dobre a vulnerabilidade
dos softwares que são explorados pelos vírus. Os falsos positivos causam interrupção
na rede dificultando a navegação, já os negativos permitem os vírus escaparem da
contenção.
Este trabalho propõe um novo sistema chamado Vigilante onde aborda estas
limitações, usando a abordagem end-to-end (ponta a ponta, ou extremo a extremo)
para conter os vírus automaticamente. Uma vez que os hosts executem um software
que seja vulnerável à infecção por vírus, que podem reunir informações que não estão
disponíveis na rede no nível de abordagem o Vigilante aproveita destas informações
para conter os vírus falsos negativos para eliminar os falsos positivos. O Vigilante
introduz o conceito de um alerta de auto certificação (SCA), um SCA é a prova que
uma máquina seja vulnerável.
Os SCAs retira a necessidade de confiança entre os hosts, isso permite a
detecção de vírus em modo de cooperação com detectores distribuídos em toda rede.
Além disso a cooperação permite que os hosts executem mecanismos de detecção
mais caros com alta precisão, porque ele espalha carga de detecção. SCAs também
fornecer uma linguagem comum para descrever as vulnerabilidades e um mecanismo
de verificação comum.
Em Vigilante, os anfitriões detectam vírus por instrumentação enfrentando a
rede de serviços para analisar as tentativas de infecção. Detectores usam esta análise
para gerar automaticamente SCAs e distribuem para outros hospedeiros. Antes de um
hospedeiro distribuir uma SCA ou após receber um SCA de outro host, ele verifica o
SCA, reproduzindo o processo de infecção descrito no SCA em um sandbox. Se a
verificação for bem sucedida, o host está certo que o serviço é vulnerável, a
verificação procedimento não tem falsos positivos.
Exercito alertados protege-se por gerar filtros que bloqueiam as mensagens do
vírus antes de serem entregues a um serviço vulnerável. Esses filtros são gerados
automaticamente usando dados dinâmicos e analise de controle de fluxo do caminho
da execução. Cada host vulnerável executa esse procedimento localmente e instala o
filtro para se proteger.
As principais contribuições deste trabalho são:
• Os conceitos de SCAs e ao end-to-end automático arquitetura verme contenção que
permite,
• mecanismos para gerar, verificar e distribuir SCAs automaticamente,
• um mecanismo automático para gerar filtros baseados em host que o tráfego de
verme bloco.
2- Auto certificação de alertas (SELF-CERTIFYING ALERTS):
Esta secção descreve o formato de SCAs, bem como os mecanismos de
verificação, gerar e distribuir alertas
2.1- Tipos de Alerta:
Um SCA prova que um serviço é vulnerável por descrever como explorar o
serviço e como gerar uma saída que sinaliza o sucesso da exploração. Usamos
mecanismos de detecção em combinação com mensagem de log para gerar SCAs em
detectores.
Nós desenvolvemos três tipos de auto certificação de alerta para o Vigilante:
