Vulnerability assessment through attack injection

Tese de mestrado em Informática, apresentada à Universidade de Lisboa, através da Faculdade de Ciências, 2006Our reliance on computer systems for everyday life activities has increased over the years as more and more tasks are accomplished with their help. The increasing complexity of the problems they address also require the development of more elaborated solutions. So, applications tend to become larger and more complex. On the other hand, the ever present tradeoff between time to deployment and thorough testing puts pressure on the quality of the software. Hence, applications tend to be released with little testing. Software bugs are continuously detected afterwards, resulting in security vulnerabilities that can be exploited by malicious adversaries and compromise the systems' security. The discovery of security vulnerabilities is then a valuable asset in the development of dependable systems. AJECT is presented as a new tool for vulnerability assessment, without requiring access to the source code or to any updated vulnerability database. The methodology utilized in the construction of AJECT emulates the behavior of an adversary by injecting attacks to trigger and detect abnormal behavior in the target systems. Preliminary experimental results in IMAP servers showed that AJECT was able to discover not only all known vulnerabilities, but also a previously unknown one.A nossa dependência nos sistemas computacionais para a realização das mais diversas actividades tem crescido ao longo dos anos. O progressivo aumento da complexidade dos problemas tratados também requer o desenvolvimento de soluções mais elaboradas. As aplicações tendem por isso a possuir uma maior dimensão e complexidade. Por outro lado, o sempre presente compromisso entre a realização de testes minuciosos e o lançamento no mercado afecta a qualidade do software. Por isso, as aplicações acabam por ser disponibilizadas ao público antes de terem sido suficientemente testadas. Os erros de software são continuamente detectados à posteriori, muitas vezes resultando em vulnerabilidades de segurança que poderão ser exploradas por adversários maliciosos, e assim comprometer a segurança do sistema. A descoberta de vulnerabilidades de segurança é assim uma actividade indispensável na construção de sistemas confiáveis. A ferramenta AJECT é apresentada como uma ferramenta para a aferição de vulnerabilidades, sem recurso ao código fonte nem a uma base de dados de vulnerabilidades actualizada. A metodologia por detrás desta ferramenta baseia-se na simulação das acções dos adversários, utilizando a injecção de ataques como meio de despoletar e detectar comportamentos anormais nas aplicações-alvo. Os resultados experimentais preliminares com servidores IMAP mostraram que o AJECT conseguiu não só descobrir todas as vulnerabilidades publicadas no ano de 2005, como também uma desconhecida