Mr.Quay's Blog

Tối ưu hóa phát hiện mã độc trong điều tra số

<div class="summary" style="background-color: white; border: 0px; color: #5f5f5f; font-family: 'Times New Roman', Times, serif; font-size: 14px; font-stretch: normal; font-weight: bold; line-height: 18px; margin-bottom: 10px !important; margin-top: 15px !important; padding: 0px !important; text-align: justify; vertical-align: baseline;">
Bài viết này giới thiệu về một mô hình tối ưu hóa phát hiện mã độc ứng dụng trong điều tra số. Mô hình này giúp phát hiện mã độc nhanh hơn và cung cấp những chứng cứ số có độ chính xác cao, phục vụ cho công tác điều tra số.</div>
<div style="background-color: white; border: 0px; color: #333333; font-family: Arial, Helvetica, sans-serif; font-size: 13.2px; line-height: 19.8px; margin: 0px; padding: 0px; text-align: justify; vertical-align: baseline;">
<div style="border: 0px; margin: 0px; padding: 0px; vertical-align: baseline;">
Mã độc là một trong những mối đe dọa nghiêm trọng đối với an toàn của hệ thống công nghệ thông tin. Sự phát triển cả về hình thức lây nhiễm và kỹ thuật che giấu hành vi của mã độc gây nhiều khó khăn cho việc điều tra, phân tích chúng. Mã độc thường sử dụng các kỹ thuật phòng chống điều tra (anti-forensics) để tránh bị phát hiện trong quá trình điều tra số. <br style="content: "A"; display: block; margin: 15px 0px !important;"></div>
<div style="border: 0px; margin: 0px; padding: 0px; vertical-align: baseline;">
Việc thu thập và phân tích lượng lớn dữ liệu hay các phần mềm có chứa mã độc sử dụng cơ chế gây nhiễu thường tốn thời gian, công sức và đòi hỏi nhiều kỹ thuật khác nhau.<br style="content: "A"; display: block; margin: 15px 0px !important;"></div>
<div style="border: 0px; margin: 0px; padding: 0px; vertical-align: baseline;">
Vì vậy, việc nghiên cứu, đề xuất phương pháp phát hiện mã độc hiệu quả, nhanh chóng là hết sức cần thiết.</div>
<div style="border: 0px; margin: 0px; padding: 0px; vertical-align: baseline;">
<br style="content: "A"; display: block; margin: 15px 0px !important;"></div>
<div style="border: 0px; margin: 0px; padding: 0px; vertical-align: baseline;">
<strong style="border: 0px; margin: 0px; padding: 0px; vertical-align: baseline;">Phương pháp phát hiện, phân tích mã độc</strong><br style="content: "A"; display: block; margin: 15px 0px !important;"></div>
<div style="border: 0px; margin: 0px; padding: 0px; vertical-align: baseline;">
Quá trình phát hiện, phân tích mã độc trong điều tra số có thể dẫn đến một trong ba kết quả là dương tính giả (false positive), âm tính giả (false negative) hoặc tỷ lệ tìm thấy (hit ratio).<br style="content: "A"; display: block; margin: 15px 0px !important;"></div>
<div style="border: 0px; margin: 0px; padding: 0px; vertical-align: baseline;">
- Dương tính giả xảy ra khi hệ thống phát hiện mã độc tồn tại trong một tệp tin mà thực tế tệp tin này không bị nhiễm mã độc. Nguyên nhân dẫn đến dương tính giả là do dấu hiệu (signature) nhận biết mã độc được xây dựng chưa chính xác, nên dấu hiệu này xuất hiện trong tệp tin không bị nhiễm.<br style="content: "A"; display: block; margin: 15px 0px !important;"></div>
<div style="border: 0px; margin: 0px; padding: 0px; vertical-align: baseline;">
- Âm tính giả xảy ra khi hệ thống không thể phát hiện được mã độc trong một tệp tin bị nhiễm. Nguyên nhân do, cơ sở dữ liệu mẫu mã độc của hệ thống không có đủ mẫu dấu hiệu của nhiều loại mã độc cụ thể.<br style="content: "A"; display: block; margin: 15px 0px !important;"></div>
<div style="border: 0px; margin: 0px; padding: 0px; vertical-align: baseline;">
- Tỷ lệ tìm thấy là kết quả có được khi hệ thống phát hiện được mã độc một cách chính xác. Tức là, dấu hiệu của mã độc phù hợp với một mẫu đã lưu trữ trong cơ sở dữ liệu của hệ thống.<br style="content: "A"; display: block; margin: 15px 0px !important;"></div>
<div style="border: 0px; margin: 0px; padding: 0px; vertical-align: baseline;">
Điều tra số sử dụng hai phương pháp phát hiện mã độc là dựa trên dấu hiệu và sự bất thường.<br style="content: "A"; display: block; margin: 15px 0px !important;"></div>
<div style="border: 0px; margin: 0px; padding: 0px; vertical-align: baseline;">
<em style="border: 0px; margin: 0px; padding: 0px; vertical-align: baseline;"><strong style="border: 0px; margin: 0px; padding: 0px; vertical-align: baseline;">Phát hiện dựa trên dấu hiệu</strong></em><br style="content: "A"; display: block; margin: 15px 0px !important;"></div>
<div style="border: 0px; margin: 0px; padding: 0px; vertical-align: baseline;">
Dấu hiệu là một chuỗi các byte chỉ có trong mã độc mà không có trong các chương trình bình thường khác. Phương pháp phát hiện mã độc dựa trên dấu hiệu nhằm xác định sự tồn tại của mã độc bằng cách so sánh các byte dấu hiệu khả nghi trích xuất được từ một chương trình với cơ sở dữ liệu các dấu hiệu của mã độc đã biết, gọi là danh sách đen (blacklist).<br style="content: "A"; display: block; margin: 15px 0px !important;"></div>
<div style="border: 0px; margin: 0px; padding: 0px; vertical-align: baseline;">
Tuy vậy, phương pháp này đặt ra một số vấn đề như: Việc trích xuất dấu hiệu rất phức tạp nên điều tra viên phải thực hiện nghiên cứu và phân tích các xâm nhập bằng phương pháp thủ công trong một môi trường có kiểm soát. Việc dấu hiệu bị bỏ qua trong quá trình điều tra là rất phổ biến, do đó, các dấu hiệu cần phải được cập nhật thường xuyên trước khi tiến hành phân tích. Điều này dẫn đến việc cơ sở dữ liệu chứa các dấu hiệu ngày càng tăng, gây khó khăn cho việc quản lý dữ liệu.<br style="content: "A"; display: block; margin: 15px 0px !important;"><em style="border: 0px; margin: 0px; padding: 0px; vertical-align: baseline;"><strong style="border: 0px; margin: 0px; padding: 0px; vertical-align: baseline;"><br style="content: "A"; display: block; margin: 15px 0px !important;"></strong></em></div>
<div style="border: 0px; margin: 0px; padding: 0px; vertical-align: baseline;">
<em style="border: 0px; margin: 0px; padding: 0px; vertical-align: baseline;"><strong style="border: 0px; margin: 0px; padding: 0px; vertical-align: baseline;">Phát hiện dựa trên sự bất thường</strong></em><br style="content: "A"; display: block; margin: 15px 0px !important;"></div>
<div style="border: 0px; margin: 0px; padding: 0px; vertical-align: baseline;">
Đây là phương pháp phát hiện mã độc dựa trên các đặc tả của việc thực hiện và triển khai một ứng dụng, hoặc hệ thống tệp tin cụ thể. Phương pháp này hoạt động bằng cách xây dựng một hồ sơ các hành vi bình thường của chương trình. Bất kỳ sai lệch nào so với hồ sơ đã lưu trữ đều được xác định là bất thường và giả định rằng mọi dấu hiệu bất thường đều có chứa mã độc. Ví dụ, trong quá trình hoạt động bình thường, một chương trình không thực hiện thao tác ghi dữ liệu lên một số thư mục nhất định của hệ thống. Nếu các thông báo từ hệ thống giám sát chỉ ra hành động ghi dữ liệu vào các thư mục của chương trình này, hệ thống phát hiện sẽ xác định đó là hành vi bất thường.<br style="content: "A"; display: block; margin: 15px 0px !important;"></div>
<div style="border: 0px; margin: 0px; padding: 0px; vertical-align: baseline;">
Hạn chế của phương pháp này là độ chính xác không cao. Việc xác định hành vi bình thường của các chương trình lớn là rất phức tạp, vì vậy một hồ sơ về các hành vi bình thường không đầy đủ có thể dẫn đến trường hợp dương tính giả. Ngoài ra, phương pháp này cũng tạo ra cơ sở để có thể thực hiện các tấn công bắt chước (mimicry attack). Trong một cuộc tấn công bắt chước, kẻ tấn công thực hiện các biện pháp làm cho tấn công của mình được cho phép trong hồ sơ của các chương trình. Tuy nhiên, để làm được điều này, kẻ tấn công phải có thông tin về hồ sơ các hành vi bình thường của chương trình.</div>
<div style="border: 0px; margin: 0px; padding: 0px; vertical-align: baseline;">
<br style="content: "A"; display: block; margin: 15px 0px !important;"></div>
<div style="border: 0px; margin: 0px; padding: 0px; vertical-align: baseline;">
<strong style="border: 0px; margin: 0px; padding: 0px; vertical-align: baseline;">Mô hình tối ưu hóa phát hiện mã độc</strong><br style="content: "A"; display: block; margin: 15px 0px !important;"></div>
<div style="border: 0px; margin: 0px; padding: 0px; vertical-align: baseline;">
Dựa trên các vấn đề mà điều tra viên phải đối mặt, cần phải xây dựng một Mô hình phân tích và phát hiện mã độc tối ưu trong quá trình điều tra số. Mô hình đề xuất bao gồm 3 giai đoạn: Xác nhận lây nhiễm, phân tích mã độc và xây dựng hồ sơ mã độc (Hình vẽ).<br style="content: "A"; display: block; margin: 15px 0px !important;"><br style="content: "A"; display: block; margin: 15px 0px !important;"><div style="border: 0px; margin: 0px; padding: 0px; text-align: center; vertical-align: baseline;">
<img alt="" src="http://antoanthongtin.vn/Portals/0/UploadImages/News/Images/antoanthongtin.vn-toi%20uu%20hoa%20phat%20hien%20ma%20doc%20trong%20dieu%20tra%20so.jpg" style="border: 0px; margin: 0px; padding: 0px; vertical-align: baseline;"></div></div></div>

Tối ưu hóa phát hiện mã độc trong điều tra số

Bài viết này giới thiệu về một mô hình tối ưu hóa phát hiện mã độc ứng dụng trong điều tra số. Mô hình này giúp phát hiện mã độc nhanh hơn ...

Những bài học từ việc dò mật khẩu của dịch vụ Ashley Madison

Những bài học từ việc dò mật khẩu của dịch vụ Ashley Madison

Khi tin tặc công bố dữ liệu về mật khẩu của hơn 36 triệu tài khoản Ashley Madison (trang web dành cho người ngoại tình), chuyên gia phá mã ...

Trang web chính thức của Thủ tướng Thái Lan bị tin tặc đánh sập

Tin tặc có liên hệ với Nga tìm cách xâm nhập máy tính của bà Clinton

Google thưởng nóng 1 triệu USD cho ai hack thành công trình duyệt Chrome

<h2 class="init_content oh" style="background-color: white; color: #7c7b7b; float: left; font-size: 11pt; line-height: 25px; margin: 10px 0px 0px; overflow: hidden; padding: 10px 0px 15px; width: 670px;">
Bạn muốn có 1 triệu USD tiền mặt trong tài khoản? Rất đơn giản. Hãy tham gia cuộc thi bảo mật Pwn2Own và hack thành công trình duyệt Chrome của Google.</h2>
<div class="clearfix" style="background-color: white; font-size: 17px; line-height: 25px; margin: 0px; padding: 0px; zoom: 1;">
<br></div>
<div class="clearfix" style="background-color: white; font-size: 17px; line-height: 25px; margin: 0px; padding: 0px; zoom: 1;">
<br></div>
<div id="ContentDetail" style="background-color: white; font-size: 17px; line-height: 25px; margin: 0px; padding: 0px;">
<div style="padding: 8px 0px;">
Google vừa công bố giải thưởng lên đến 1 triệu USD cho người nào hack thành công trình duyệt Chrome (theo thông tin từ tạp chí Forbes). Chrome đã được đưa vào cuộc thi hack quốc tế Pwn2Own từ 3 năm nay nhưng vẫn chưa có ai chinh phục thành công trình duyệt của Google.</div>
<div class="VCSortableInPreviewModeWrapper" style="padding: 8px 0px; text-align: center;">
<br></div>
<div class="VCSortableInPreviewMode" style="box-sizing: border-box; display: inline-block; font-style: italic; margin: auto !important; padding: 0px; text-align: center; width: 400px;" type="Photo">
<div style="margin: 0px; padding: 0px;">
<img alt="" class="hoverZoomLink" data-cke-saved-src="http://genknews.vcmedia.vn/k:2015/browser-fight-safari-chrome-ie-firefox-1443615115530/google-thuong-nong-1-trieu-usd-cho-ai-hack-thanh-cong-trinh-duyet-chrome.jpg" id="img_149420" photoid="149420" rel="http://genknews.vcmedia.vn/2015/browser-fight-safari-chrome-ie-firefox-1443615115530.jpg" src="http://genknews.vcmedia.vn/k:2015/browser-fight-safari-chrome-ie-firefox-1443615115530/google-thuong-nong-1-trieu-usd-cho-ai-hack-thanh-cong-trinh-duyet-chrome.jpg" style="border: none; display: inline; margin: 0px; max-width: 100%; padding: 0px !important; vertical-align: bottom;" type="photo"></div></div></div>

Google thưởng nóng 1 triệu USD cho ai hack thành công trình duyệt Chrome

Bạn muốn có 1 triệu USD tiền mặt trong tài khoản? Rất đơn giản. Hãy tham gia cuộc thi bảo mật Pwn2Own và hack thành công trình duyệt Chrome...

Lỗ hổng mới từ WinRAR cho phép tấn công PC người dùng khi thực hiện giải nén

<div style="background-color: white; font-size: 17px; line-height: 25px; padding: 8px 0px;">
WinRAR là 1 trong những phần mềm phổ biến nhất mà người dùng máy tính sử dụng. Nó cho phép họ nén và giải ném dữ liệu một cách dễ dàng. Tuy nhiên, 1 lỗ hổng bảo mật đã vừa mới bị phát hiện ở phiên bản WinRAR mới nhất. Lỗ hổng này có thể đặt người dùng vào nguy hiểm và lọt vào tầm ngắm của các tin tặc.</div>
<div class="VCSortableInPreviewModeWrapper" style="background-color: white; font-size: 17px; line-height: 25px; padding: 8px 0px; text-align: center;">
</div>
<div class="VCSortableInPreviewMode" style="box-sizing: border-box; display: inline-block; font-style: italic; margin: auto !important; padding: 0px; text-align: center; width: 640px;" type="Photo">
<div style="margin: 0px; padding: 0px;">
<img alt="" id="img_149389" photoid="149389" rel="http://genknews.vcmedia.vn/2015/1-1443606262547.jpg" src="http://genknews.vcmedia.vn/k:thumb_w/640/2015/1-1443606262547/lo-hong-moi-tu-winrar-cho-phep-tan-cong-pc-nguoi-dung-khi-thuc-hien-giai-nen.jpg" style="border: none; display: inline; margin: 0px; max-width: 100%; padding: 0px !important;" type="photo"></div></div>

Lỗ hổng mới từ WinRAR cho phép tấn công PC người dùng khi thực hiện giải nén

WinRAR là 1 trong những phần mềm phổ biến nhất mà người dùng máy tính sử dụng. Nó cho phép họ nén và giải ném dữ liệu một cách dễ dàng. Tuy...

Mr.Quay's Blog

Tối ưu hóa phát hiện mã độc trong điều tra số

Những bài học từ việc dò mật khẩu của dịch vụ Ashley Madison

Trang web chính thức của Thủ tướng Thái Lan bị tin tặc đánh sập

Tin tặc có liên hệ với Nga tìm cách xâm nhập máy tính của bà Clinton

Google thưởng nóng 1 triệu USD cho ai hack thành công trình duyệt Chrome

Lỗ hổng mới từ WinRAR cho phép tấn công PC người dùng khi thực hiện giải nén

Xem Nhiều

Blog Archive

Nhận xét mới đăng tải!