Контроль программных процессов с использованием профилирования

Одной из наиболее актуальных сегодня задач в области информационных технологий является задача контроля работы программного обеспечения (ПО). Эта задача включает в себя контроль функционирования ПО на предмет обнаружения ошибок или закладок, внесенных в вычислительную среду еще на этапе разработки соответствующего программного или программноаппаратного обеспечения или внедрённых в него впоследствии [41, 67]. Под закладкой понимается несанкционированное изменение в программно-технических средствах системы, вносимое нарушителем на этапе разработки, установки или эксплуатации системы и создающее возможность совершения в дальнейшем несанкционированных действий или нарушения нормального функционирования системы. К задаче контроля функционирования ПО следует также отнести задачу защиты от «внешних» угроз, исходящих от оператора [66] или от компьютерных вирусов [34]. Программные закладки и компьютерные вирусы объединяются под общим понятием разрушающих программных воздействий (РПВ) [68].

В решении задачи создания систем контроля для защиты от угроз, исходящих от оператора, (в том числе, защиты от несанкционированного доступа), на сегодняшний день достигнут значительный прогресс [5, 16, 19, 43, 44]. Разработаны программные продукты для практического осуществления защиты [12, 33, 34, 45], а также программно-аппаратные комплексы [38, 58].

В области создания систем контроля для защиты от РПВ очень большое внимание уделяется защите от компьютерных вирусов, и весьма малое — задаче защиты от закладок. Не имеется не только работающих средств, но и, по сути, отсутствуют теории, позволяющие построить такие средства. Так в [11,30] проблема защиты информации от программных закладок не ставится вовсе. Однако, указанная проблема стоит очень остро [3, 69].

Сегодня единственным применяемым на практике методом выявления программных и программно-аппаратных закладок является верификационный анализ исходных текстов программного обеспечения [47, 52]. Трудоёмкость выполнения такого анализа сравнима с трудоёмкостью написания самих программ, поэтому его выполнение является весьма сложной задачей [17]. Кроме того, проверить наличие закладок в программах, тексты которых недоступны, невозможно. Указанная проблема является весьма острой, поскольку зарубежные коммерческие компании не очень охотно предоставляют исходные тексты своих программ для сертификационных испытаний, кроме того нельзя поручиться, что предоставленные исходные тексты полны. Отечественные же программные и программно-аппаратные разработки по многим направлениям информационных технологий отсутствуют.

Выходом из создавшегося положения является сертификация программ по имеющемуся исполняемому коду. В [32] изложен метод, позволяющий сертифицировать программные продукты путём статического исследования кода программы. Предлагается два возможных варианта метода.

Первый вариант основан на поиске признаков, характерных для любых разрушающих программных средств. Высокая производительность, присущая данному варианту метода, отнюдь не искупает его низкую точность, поскольку он основан на использовании вероятностных предположений. При использовании данного варианта возможны как ошибки первого рода (ошибочное принятие функциональной составляющей программы за реализацию РПВ), так и в большей степени ошибки второго рода (не обнаружение разрушающего воздействия). Несмотря на указанное обстоятельство, метод взят на вооружение антивирусными программами [34].

Второй вариант метода предполагает полное дизассемблирование исполняемого кода программы. Этот вариант более точен, однако несравнимо более сложен. Для его реализации необходимо провести полный лексический, синтаксический и семантический анализ кода. Алгоритмы такого анализа весьма нетривиальны и медленны. Общее время осуществления анализа сравнимо со временем анализа имеющихся исходных текстов программ и, вероятно, даже превосходит его по длительности.

Описанные методы обнаружения РПВ по классификации, приведенной в [62] относятся к «логико-аналитическим» методам. В противовес этим методам ставятся «контрольно-испытательные» методы, основанные на тестировании ПО в виртуальной программной среде с помощью символического выполнения программы, се интерпретации и другими способами. Такое тестирование предполагается проводить еще до начала эксплуатации ПО. По результатам тестирования делается вывод о безопасности ПО, если в течении тестирования ни разу не было зафиксировано активизации РПВ — выполнения любой из множества запрещенных операций.

В [54] изложен один из контрольно-испытательных методов. Для этого предполагается построение программного эмулятора, выполняющего все функции компьютера. При этом эмулятор вынужден эмулировать центральный процессор компьютера, операционную систему и базовую систему ввода-вывода. Сложность построения такого эмулятора также очень высока [1].

Наконец, существует идея о построении саморазвивающихся систем защиты на основе генетических алгоритмов, в процессе функционирования увеличивающих свою способность противостоять разрушающим программным воздействиям [53].

Очевидно, что все предлагаемые варианты обладают существенными недостатками, мешающими практической реализации системы. В этой связи представляется целесообразным рассмотреть иной путь защиты информационных систем, в основе которого лежит не исследование исполняемого кода программы, а контроль его исполнения.

Система, основанная на методе контроля ПО, должна осуществлять непрерывный мониторинг работы исследуемого ПО — контроль функционирования программных процессов (ПП). Под программным процессом здесь и далее понимается выполнение программы под управлением операционной системы (ОС).

Профилирование ПП включает в себя накопление информации о работе ПП, а также о потреблении ресурсов компьютера и ОС. Возможность построения такой системы исследована в [28, 50], где рассматривается общая структура системы. Основываясь па результатах предыдущих запусков контролируемого ПО — профилях, одобренных экспертом, система делает вывод о штатной работе ПО, либо о возникновении угрозы.

Актуальность работы.

Разработка системы контроля программных процессов является очень актуальной задачей. До сих пор такие системы не обеспечивали полноту функций контроля — выявление РПВ в ПО на этапе выполнения программы. Создание системы, позволяющей выявить РПВ дает возможность контролировать выполнение программных процессов с целью повышения достоверности результатов вычислений и надежности функционирования программ.

Предметом исследования в данной работе являются вопросы построения системы контроля программных процессов с использованием профилирования.

Цель работы.

Решение задачи контроля программных процессов с целью обнаружения разрушающих программных воздействий, встроенных или внедренных в программное обеспечение, по изменению профилей работы программ в момент активизации РПВ. Разработка новых методов профилирования и анализа профилей с целью повышения достоверности и надежности функционирования программного обеспечения.

Задачи исследования. анализ существующих методов профилирования и обоснование технической возможности использования профилей для контроля программных процессов. Объектом исследования являются программные процессы, использующие WIN32 API. Предметом исследования являются профили таких программных процессов- - разработка методов профилирования, позволяющих выделить характерные особенности выполнения программных процессов без использования исходных текстов и отладочной информацииисследование возможностей регистрации действий приложений и методов встраивания регистрирующих агентов в приложенияразработка методов обработки и анализа профилей, в том числе выявления типовых разрушающих программных воздействий на основе использования регулярных выражений алгебры событийисследование возможности выявления программных закладок, работающих в памяти и не генерирующих действийразработка структуры системы контроля программных процессов с использованием профилированиявыработка практических рекомендаций по построению системы контроля программных процессов с использованием профилирования.

Методы исследования базируются на системно-концептуальном подходе к анализу алгоритмов и программ, теории множеств, теории цифровых автоматов, регулярных выражениях алгебры событий и элементах статистического анализа.

Научная новизна работы заключается в следующем: показана принципиальная возможность использования накопленных профилей программных процессов для построения системы контроля с использованием профилированияпредложена структура системы контроля программных процессов, применимая к использованию в вычислительных сетях, позволившая повысить достоверность и надежность функционирования ПОисследована структура профилей программных процессов и разработаны операции над профилями на основе теории множеств и теории цифровых автоматов, что позволило формализовать режимы функционирования системы контроляпредложены практические методы обработки и анализа профилей, в том числе метод выявления активации разрушающих программных воздействий в накопленных профилях, позволяющие реализовать систему контроля ППисследована точность методов анализа профилей программных процессов, результаты исследования позволяют утверждать о применимости предложенных методов для построения системы контроля программных процессов.

Система контроля программных процессов, основанная на разработанных методах, названа автором системой динамического профилирования. По результатам исследования была показана возможность её создания для программного интерфейса Win32 API. Основные результаты и положения, выносимые на защиту: принцип построения систем контроля программных процессов на основе анализа их профилейпредставление профилей и операции над профилями на основе теории множеств, позволяющие описывать работу системы контроля программных процессовметод контроля программных процессов с использованием предварительно накопленных профилейпринцип выявления известных разрушающих программных воздействий распознаваемых по образцам, заданным регулярными выражениями алгебры событий. Практическая ценность работы: разработанная система позволяет проводить эффективный контроль работы ПОпоказано, что на основе накопленной информации о работе ПО система контроля может дополнительно обучаться, уточняя профиль конкретной программы и снижая вероятность возникновения ошибки ложного принятия верной работы ПО за активизацию РПВнакопленные профили работы ПО могут быть использованы для последующего разбора функционирования ПО и доказательства отсутствия срабатывания РПВв результате исследований установлено, что вероятность возникновения ошибок выявления РПВ зависит только от компетентности эксперта на начальном этапе накопления информации системой контроля, а не от вида угрозы и особенностей алгоритма работы ИС.

К недостаткам системы контроля программных процессов следует отнести необходимость постоянного автоматического слежения за работой контролируемых программ. Это отнимает вычислительные ресурсы компьютера во время его штатной работы.

Достоверность результатов обеспечивается программами моделирования системы. Результаты моделирования приведены в приложениях к диссертации.

Реализация и внедрение результатов работы.

Результаты исследования внедрены в рамках ОКР, выполненных НПФ «Кристалл» по договорам с ЦБ РФ:

5/97 «Разработка инструментальных средств контроля правильности работы программного обеспечения ЭВМ на базе экспертных систем». Шифр «Конвой-2», от 23.03.97- № 4/98 «Разработка системы наблюдения и контроля за работой клиентов в платежных системах, организованных по принципу «клиент-сервер» «. Шифр «Ромб», от 17.04.98- № 23/98 «Создание структурной подсистемы активного аудита для автоматизированной системы Федерального Расчетного Центра Банка России». Шифр «Каскад», от 4.11.98.

Апробация работы. Основные результаты проведенных исследований докладывались и получили одобрение на ежегодных конференциях преподавателей и студентов ПГУ в 1996;99 гг., III Международной конференции «Новые информационные технологии и системы» (Пенза, 1998 г.), 4-ой международной конференции «Распознавание — 99» (Курск, 1999 г.).

Публикации по тематике диссертационной работы включают в себя четыре статьи и пять докладов на научно-технических конференциях.

Ниже приведена структура диссертационной работы.

Описание целей и задач процесса профилирования, описание областей применения профилирования, обоснование технической возможности использования профилей для решения задачи контроля программных процессов, обзор методов профилирования, — всё это представлено в первой главе диссертации.

Анализ существующих подходов к проблеме позволил предложить новый метод профилирования. Вторая глава работы посвящена рассмотрению и предлагаемого нового метода получения профилей программных процессов. Представление профилей на основе регулярных выражений алгебры событий позволило предложить способ автоматического получения эталонного профиля ПО.

В третьей главе диссертации исследована возможность выявления программных закладок, работающих в памяти и не генерирующих действий. Представлена программная модель, показывающая возможность выявления таких закладок.

Практическое применение разработанной системы профилирования — тема четвёртой главы диссертации.

В тексте диссертационной работы встречаются словосочетания и предложения, выделенные автором. Жирным шрифтом отмечены наиболее важные определения. Курсивом выделены определения новых терминов, использующихся далее по тексту.

4.8 Выводы по главе.

Четвёртая глава диссертации посвящена вопросам практической разработки системы контроля программных процессов на основе динамического профилирования. В ней исследуются вопросы практического построения системы для операционных систем, реализующих программный интерфейс Win32 API.

В главе даны укрупненные алгоритмы работы программ агента и анализатора. На примерах обосновывается необходимость каждого из атрибутов временного интервала. Показано, что только полный предложенный список атрибутов временного интервала позволяет верно распознать различные временные интервалы. Также показано, как обнаруживается изменение профиля программы во время её выполнения.

Рассмотрены особенности принципа получения гистограммы распределения отсчетов в адресной области программных процессов. Предложен алгоритм построения гистограммы.

Даны примерные количественные оценки параметров системы. По результатам оценок сделан вывод о возможности практического воплощения системы контроля программных процессов и её серверной части с использованием аппаратного оборудования стандартного серверного компьютера.

122 Заключение.

Главный результат проделанной диссертационной работы: решена задача обнаружения разрушающих программных воздействий, встроенных или внедренных в контролируемое ПО, по изменению профилей работы программных процессов.

Кроме того, необходимо отметить следующие результаты выполнения диссертационной работы:

1. предложен принцип построения систем контроля программных процессов на основе анализа их профилей;

2. разработан метод контроля программных процессов с использованием накопленных профилей, позволяющий реализовать систему контроля программных процессов;

3. предложена структура системы контроля программных процессов и её функциональных компонентов, применимая к использованию в вычислительных сетях для повышения достоверности и надежности функционирования ПО;

4. исследована структура профилей программных процессов и разработаны операции над профилями на основе теории множеств и теории цифровых автоматов для описания функционирования системы контроля программных процессов;

5. предложен принцип выявления известных разрушающих программных воздействий с помощью профилей программных процессов на основе регулярных выражений алгебры событий;

6. разработаны программные модели, позволяющие утверждать о применимости методов анализа профилей для построения системы контроля программных процессов;

7. по результатам исследования выработаны рекомендации по практической реализации системы контроля программных процессов.

Система контроля программных процессов на основе профилирования призвана отслеживать разрушающие программные воздействия нескольких типов: активизация программной закладкизаражение любыми видами компьютерных вирусовредко активизирующиеся ошибки в программах, приводящие к изменению профиля работы программного процесса.

В диссертационной работе разработан новый метод динамического профилирования, ввиду неэффективности классического метода профилирования программ для решения задач защиты информации. Процессы получения и анализа профилей согласно разработанному методу протекают непрерывно, что позволяет построить систему защиты, работающую практически в реальном времени.

Предложенная структура профиля позволяет получать устойчиво повторяющиеся профили при последовательных запусках одной и той же программы. Разработан математический аппарат получения и анализа профилей, а именно:

— описана структура профиля программывводятся отношения и операции над профилями;

— приведены уравнения, позволяющие описать функционирование системы контроля программных процессов на основе профилирования.

В результате достигнута возможность описания действий системы в виде математических операций над профилями.

Исследована структура профиля типовой программы для операционных систем, реализующих программный интерфейс Win32 API. Исследованы теоретические основы процесса профилирования в многозадачной среде.

Разработанная автором диссертации концепция уровней глубины анализа действий процесса позволяет автоматически регулировать нагрузку на систему контроля без существенного снижения эффективности работы системы.

На основе разработанных программных моделей рассмотрен процесс выявления встроенной программной закладки, не вызывающей появления отслеживаемых действий системы, т. е. наиболее сложного случая для систем защиты и показаны условия выявления такой закладки. Показано, что погрешность измерения зависит только от параметров компьютера, а не от характеристик профилируемой программы, что доказывает возможность выявления закладки в любой исследуемой прикладной программе.

Автором диссертационной работы рассмотрены вопросы практического построения системы контроля, для слежения за процессами прикладных программ операционных систем, реализующих программный интерфейс Win32 API. Рассмотрено как именно проявляют себя разрушающие программные воздействия в контексте данного API.

Даны примерные количественные оценки параметров системы. По результатам оценок сделан вывод о возможности практического воплощения системы контроля, в том числе её серверной части с использованием аппаратного оборудования стандартного серверного компьютера.

Области применения разработанной системы контроля программных процессов весьма обширны и включают в себя как воплощение в качестве компонента системы защиты, либо как самостоятельный продукт для обнаружения срабатывания разрушающих программных воздействий в областях, наиболее требовательных к чистоте используемого ПО (банковская, военная и др.). Идеи, положенные в основу данной диссертационной работы.