[论文解读] Detection and Prevention of New and Unknown Malware using Honeypots

Shishir Kumar, Durgesh Pant|ArXiv.org|Dec 11, 2009

Network Security and Intrusion Detection参考文献 6被引用 5

一句话总结

本文提出了一种基于蜜罐的新型系统，可生成并实时传播针对未知恶意软件的反恶意软件签名（治愈方案），其传播机制模仿恶意软件自身的传播方式。通过作为自复制防御机制，该系统能够在传统安全解决方案响应之前，迅速实现对新型及零日威胁的即时缓解。

ABSTRACT

Security has become ubiquitous in every domain today as newly emerging malware pose an ever-increasing perilous threat to systems. Consequently, honeypots are fast emerging as an indispensible forensic tool for the analysis of malicious network traffic. Honeypots can be considered to be traps for hackers and intruders and are generally deployed complimentary to Intrusion Detection Systems (IDS) and Intrusion Prevention Systems (IPS) in a network. They help system administrators perform a rigorous analysis of external and internal attacks on their networks. They are also used by security firms and research labs to capture the latest variants of malware. However, honeypots would serve a slightly different purpose in our proposed system. We intend to use honeypots for generating and broadcasting instant cures for new and unknown malware in a network. The cures which will be in the form of on-the-fly anti-malware signatures would spread in a fashion that is similar to the way malware spreads across networks. The most striking advantage of implementing this technology is that an effective initial control can be exercised on malware. Proposed system would be capable of providing cures for new fatal viruses which have not yet been discovered by prime security firms of the world.

研究动机与目标

• 应对新型和未知恶意软件不断增长的威胁，这些恶意软件可绕过传统检测机制。
• 通过实现对新兴威胁的即时响应，克服安全厂商签名更新的延迟问题。
• 不仅将蜜罐用于监控，更将其作为主动防御机制，生成并传播治愈方案。
• 通过自传播的反恶意软件签名，实现对零日恶意软件的快速遏制。
• 引入一种主动防御模型，通过实时、自动响应能力，补充现有的入侵检测/防御系统（IDS/IPS）。

提出的方法

• 在内部网络中部署蜜罐，以吸引并捕获新型恶意软件变种。
• 分析捕获的恶意软件行为，生成实时、即时的反恶意软件签名（治愈方案）。
• 设计一种治愈方案的传播机制，使其与实际恶意软件在网路中的传播模式相匹配。
• 确保治愈方案能快速且自主地分发至已感染或存在漏洞的系统。
• 将系统与现有网络安全基础设施集成，以实现治愈方案的自动部署。
• 利用蜜罐作为陷阱的角色，不仅实现检测，还通过签名传播主动中和未知威胁。

实验结果

研究问题

• RQ1 蜜罐是否不仅能用于检测，还能用于主动传播反恶意软件签名，以中和未知恶意软件？
• RQ2 自复制的治愈方案在网络中传播的效率如何，能否在传统防御机制响应之前遏制零日恶意软件？
• RQ3 哪些机制可确保治愈方案既准确又安全，避免误报或对系统造成意外影响？
• RQ4 该系统如何保持控制，防止攻击者利用或滥用治愈方案？
• RQ5 与传统的基于签名的防御相比，该方法在多大程度上能缩短新型恶意软件的漏洞暴露时间窗口？

主要发现

• 所提出的系统能够通过实时生成和传播反恶意软件签名，实现对新型恶意软件的即时响应。
• 通过模仿恶意软件的传播方式，治愈方案可比传统安全更新更快地抵达易受攻击的系统。
• 基于蜜罐的方法提供了一个主动防御层，可与现有的入侵检测/防御系统（IDS/IPS）形成互补。
• 该系统有能力在主要安全厂商识别之前，为致命的、此前未知的病毒提供治愈方案。
• 该方法展示了一种切实可行的机制，通过自主、自传播的防御签名，显著缩短零日威胁的修复时间。
• 该方法确立了一种新范式，使蜜罐在网络安全中同时充当检测与主动缓解工具。