Progetto e realizzazione di un sistema per la rilevazione di exploit polimorfici

Le tecniche polimorfiche usate nella scrittura di exploit vanificano i metodi utilizzati nei sistemi IDS per bloccare gli attacchi. Si presenta un metodo che consente ad un IDS basato su scansione di pacchetti di individuare generiche sequenze di istruzioni e testare se l'esecuzione di esse è possibile. Il metodo è utile per ricercare possibili sequenze di istruzioni all'interno dei dati scambiati in una rete e selezionare le sequenze trovate per ridurre il numero di falsi positivi. Una sequenza viene eseguita come un processo in fase di debugging, se il processo esegue una chiamata di sistema si considera la sequenza come un probabile exploit. La probabilità che esistano sequenze che terminano in chiamate di sistema all'interno dei dati è molto bassa. Le caratteristiche tipiche di un exploit (presenza di nop sled, indipendenza dal particolare programma e dall'ambiente di esecuzione) facilitano l'individuazione. Il metodo è stato implementato per sistemi Linux