Экспериментальный анализ обнаружения вредоносных программ с использованием экструзии. Санни бехал

IV. ЭКСПЕРИМЕНТАЛЬНАЯ УСТАНОВКА
Для анализа образцов вредоносных программ устанавливается тестовая среда, как показано на рисунке 2. Для реализации тестового окружения использовались восемь компьютеров, выполняющих роль зомби т.е. уязвимостей, один компьютер используется как консоль злоумышленника, один компьютер используется как жертва (на который запускается атака в случае ботнета) и два компьютера зараженные компьютеры, подвергшиеся воздействию, использовались в качестве снифферов, которые используются для прослушивания всех сообщений между этими компьютерами. Операционная система на компьютерных системах — Windows XP, Sniffer-1 содержит все правила/сигнатуры, характерные для экструзии трафика (т.е. внутреннего и исходящего трафика), а sniffer-2 содержит все правила/сигнатуры для обнаружения всех видов трафика (как входящий и исходящий трафик).

V. РЕЗУЛЬТАТЫ И ДИСКУССИЯ
Предполагаемы подход применяется к четырем образцам вредоносного ПО и анализируется активность их действий с обоими снифферами в тестовой среде. Для проверки предполагаемого подхода, использовались следующие показатели.
1. Входящий траффик. Весь входящий трафик состоит из операций входящего сканирования и входящего заражения. Входящий вирус – это прямая входящая эксплуатация, при котором злоумышленник отправляет весь или часть вредоносного кода на скомпрометированное устройство, которое оно решает сделать своим зомби.
2. Загрузка вредоносного ПО\EGG файл или трафик управления и контроля (С&С). Многим вредоносным программам требуется дополнительная загрузка после атаки, чтобы завершить процесс вторжения. Некоторые вредоносные программы отправляют некоторые ответы своим серверам управления и контроля или обработчикам. Типичным примером является общение между ботмастером и его ботами.
3. Исходящий трафик распространителя. Этот показатель используется для определения исходящего трафика, генерируемого вредоносными программами, после их загрузки на скомпрометированный хост.