Дорфман Антон Владимирович. Системный анализ дестабилизирующих программных воздействий на вычислительно-управляющие комплексы промышленных предприятий и методы их распознавания

Короткий опис

Дорфман Антон Владимирович. Системный анализ дестабилизирующих программных воздействий на вычислительно-управляющие комплексы промышленных предприятий и методы их распознавания : диссертация... кандидата технических наук : 05.13.01 Самара, 2007 178 с. РГБ ОД, 61:07-5/3013

Государственное образовательное учреждение высшего
профессионального образования
Самарский государственный технический университет
Дорфман Антон Владимирович
СИСТЕМНЫЙ АНАЛИЗ ДЕСТАБИЛИЗИРУЮЩИХ
ПРОГРАММНЫХ ВОЗДЕЙСТВИЙ НА ВЫЧИСЛИТЕЛЬНО-
УПРАВЛЯЮЩИЕ КОМПЛЕКСЫ ПРОМЫШЛЕННЫХ
ПРЕДПРИЯТИЙ И МЕТОДЫ ИХ РАСПОЗНАВАНИЯ
Специальность: 05.13.01 -
Системный анализ, управление и
обработка информации (в промышленности)
Диссертация на соискание ученой степени
кандидата технических наук
Научный руководитель: кандидат технических наук, доцент Буканов Ф.Ф.
Самара 2007
Стр
Введение 5
1 Разработка методики системного анализа дестабилизирующих 12 программных воздействий
1.1 Литературно-аналитический обзор 12
1.2 Методика системного анализа дестабилизирующих программных 18 воздействий
1.3 Анализ влияния вирусов на вычислительно-управляющие 20
комплексы промышленных предприятий
1.4 Выводы 25
2 Анализ компьютерных вирусов как систем 26
2.1 Экспериментальное исследование компьютерных вирусов 26
2.1.1 Методика исследования 26
2.1.2 Исследование вирусов, функционирующих в MS-DOS 31
2.1.3 Исследование загрузочных вирусов 37
2.1.4 Исследование вирусов, работающих в Windows 40
2.1.5 Анализ сетевых червей 47
2.1.6 Выявление и анализ дополнительных методов работы вирусов 53
2.1.7 Исследование методов самошифрования и полиморфизма в 62 компьютерных вирусах
2.2 Декомпозиция компьютерного вируса на системные компоненты 69
2.3 Системная модель состава компьютерного вируса 70
2.4 Функциональная классификация компьютерных вирусов 72
2.5 Анализ современных антивирусных методов на основе 73
декомпозиции вируса
2.6 Разработка требования к теоретической модели вируса 74
2.7 Выводы 75
3 Анализ теоретических моделей компьютерных вирусов 76
3.1 Модель вируса на основе машины Тьюринга (Fred Cohen, 1989) 76
3.2 Модели вирусов на основе теории рекурсивных функций 79
3.2.1 Модель Леонарда Адлемана (Leonard М. Adleman, 1990) 79
3.2.2 Модель китайских авторов (Zhihong Zuo, Mingtian Zhou, 2004) 82
3.2.3 Модель французских авторов (Guillame Bonfante, Matthieu 85 Kaczmarek, Jean-Yves Mario, 2005)
3.3 Структура для моделирования Троянских программ и вирусов 88 (Harold Thimbley, Stuart Anderson, Paul Cairns, 1999)
3.4 Модель вируса на основе RASPM с ABS (Ferenc Leitold, 2000) 91
3.5 Модели вирусов на основе алгебраических спецификаций 94
3.5.1 Модель на основе ASM (Matt Webster, 2005) 94
3.5.2 Модель на основе OBJ (Matt Webster, 2005) 96
3.6 Векторно-операторная модель вируса (Д. Зегжда, 1993) 99
3.7 Обход результата невозможности Коуэна (Jan Bergstra, Alban 102 Ponse, 2005)
3.8 Результаты анализа моделей вирусов 103
3.9 Выводы 105
4 Разработка моделей поведения компьютерных вирусов и их 106
подсистем
4.1 Модель вычислительной системы - машина СМ 106
4.2 Модель абстрактного компьютерного вируса 110
4.3 Моделирование поведения Win32 вирусов и их подсистем 112
4.4 Вычислительная машина CMCJH с историей вычислений и 122
переходов
4.5 Выводы 124
5 Разработка системы распознавания Win32 вирусов 125
5.1 Структура системы и алгоритм ее работы 125
з
5.2 Подсистема эмуляции команд процессора 127
5.3 Программная реализация моделей СМ и CMCJH 134
5.4 Подсистема классификации на базе нейронной сети 135
5.5 Результаты тестирования системы распознавания Win32 вирусов 140
5.6 Выводы 143
Основные результаты работы и выводы 144
Библиографический список 146
Приложение А Акты внедрения 156
Приложение Б Служебные структуры MS-DOS и Windows 158
Приложение В Типовые блок схемы алгоритмов вирусов 161
Приложение Г Листинги 168
Г.1 Подсистема эмуляции команд. Типовое исполнение команды 168
Г.2 Процедура вычисления сигмоидальной функции для подсистемы 174 классификации на основе нейронной сети
Актуальность работы. Ежегодно нефтеперерабатывающие, химические и другие промышленные и финансовые предприятия подвергаются серьезным угрозам в связи с постоянными атаками компьютерных вирусов - самого крупного класса дестабилизирующих программных воздействий. Атаки приводят к прерыванию контроля над производственными процессами с возможными катастрофическими последствиями. Это является риском для человеческих жизней и окружающей среды. Число вирусных атак резко возрастает по мере того, как все больше предприятий связывают системы управления производством с внутренними компьютерными сетями и глобальной сетью Интернет.
Приведем лишь несколько фактов. В августе 2005 года 13 заводов промышленной компании Chrysler в США остановились из-за компьютерного вируса Zotob. Также Zotob атаковал компьютеры около 100 компаний, среди них General Electric, Caterpillar, CNN. В феврале 2006 года в результате атаки компьютерного вируса на целый час была приостановлена работа всех рынков Российской торговой системы. В том же 2006 году российские хакеры получили на 24 часа контроль над крупным газопроводом.
Помимо компьютерных вирусов к дестабилизирующим программным воздействиям относятся и другие виды вредоносных программ: троянские программы, программы-шпионы, программные закладки и т.д., а также различного рода ошибки и уязвимости в программном обеспечении. Среди компьютерных вирусов необходимо выделить самый крупный класс - исполняемые вирусы, заражающие программные объекты вычислительных систем. Представители данного класса являются наиболее сложными, часто в них используются новые
вирусные технологии и обычно они разрабатываются на низкоуровневом языке Ассемблер. Наибольшее распространение получили вычислительно-управляющие комплексы, построенные на платформе Intel и использующие 32-битные операционные системы семейства Windows. Поэтому необходимо выделить класс Win32 вирусов, представители которого в своей работе используют только стандартный программный интерфейс операционных систем Windows под названием Win32 API, что позволяет им функционировать в любой 32-битной операционной системы семейства Windows.
Существующие средства борьбы с вирусами - современные антивирусные системы имеют ряд недостатков. Самый серьезный из них - это малый процент распознавания вирусов, которые не были исследованы специалистами вирусологами антивирусной компании - разработчика антивирусного средства. Исследование программного объекта, зараженного вирусом, выполняется с помощью статического и динамического методов анализа программных реализаций. Статический метод заключается в восстановлении алгоритма работы программы на основе анализа листинга выдаваемого дизассемблером, программой переводящей машинные коды в команды Ассемблера. При динамическом методе используется программа отладчик, которая позволяет просматривать и анализировать динамику выполнения программы. После исследования вируса, его признаки добавляют в базу данных антивируса, которую необходимо периодически обновлять. Таким образом, новый вирус может беспрепятственно работать до выхода обновления. Недостатки антивирусных средств связаны с отсутствием системных исследований вирусов и огромным разрывом между теорией и практикой компьютерной вирусологии. Поэтому актуальным является системный анализ компьютерных вирусов, моделирование их и создание нового метода их распознавания.
Целью диссертационной работы является системный анализ компьютерных вирусов как самого крупного класса дестабилизирующих программных воздействий, анализ их влияния на вычислительно-управляющие комплексы промышленных предприятий и разработка метода распознавания компьютерных вирусов.
Основные задачи. Для достижения поставленной цели необходимо решение следующих задач:
1. Анализ влияния компьютерных вирусов на вычислительно-управляющие комплексы промышленных предприятий.
2. Разработка алгоритма исследования компьютерного вируса и проведение экспериментального исследования компьютерных вирусов.
3. Системный анализ вирусов на основе проведенного экспериментального исследования, декомпозиция, выявление подсистем вирусов, методов их работы и взаимодействия с вычислительной средой.
4. Анализ методов распознавания компьютерных вирусов.
5. Построение системной модели состава вируса и функциональной классификации компьютерных вирусов. Разработка требований к модели поведения вируса и анализ существующих моделей поведения на соответствие данным требованиям.
6. Разработка модели вычислительной среды и математического аппарата для описания программных объектов и их поведения.
7. Построение моделей поведения абстрактного компьютерного вируса, основных классов компьютерных вирусов и их подсистем.
8. Разработка архитектуры, алгоритмов работы и программной реализации системы распознавания вирусов, ее тестирование.
Методы исследования базируются на комплексном применении
методов системного анализа, теории множеств, теории автоматов, теории алгоритмов, теории машин Тьюринга, методов анализа программных реализаций.
Научная новизна и значимость заключается в следующих полученных результатах:
1. Впервые решены задачи системного анализа компьютерных вирусов как самого крупного класса дестабилизирующих программных воздействий и их влияния на вычислительно-управляющие комплексы промышленных предприятий, на основе представления вируса как системы, что позволило построить обобщенную модель состава данной системы, структурные модели и функциональную классификацию.
2. На основе анализа существующих моделей компьютерных вирусов построены модели вычислительных систем - машина СМ и машина CMCJH отличающиеся тем, что машина СМ состоит из вычислителя и памяти хранящей состояние системы, в том числе и состояние самого вычислителя, CMCJH помимо этого содержит бесконечную ленту с историей вычислений и бесконечную ленту с историей переходов, что позволяет на базе этих машин моделировать различные уровни детализации программных систем.
3. Модели поведения различных классов вирусов, которые построены на базе машины СМ и введенных моделей программ, файлов, операционных систем, сервисных процедур, что позволяет моделировать подсистемы вирусов и идентифицировать представителей различных классов вирусов.
4. Метод распознавания вирусов и алгоритмы работы программной системы распознавания, основанные на созданных моделях поведения вирусов и том, что машина СМ может моделировать работу машины CMCJH и, следовательно, распознавать поведение вирусов, что позволило создать систему распознавания вирусов.
5. Методика системного анализа дестабилизирующих программных воздействий, позволяющая проводить системные исследования вирусов и других видов вредоносных программ, а также различного рода ошибок и уязвимостей в программном обеспечении.
Практическая полезность
1. Разработанный метод распознавания компьютерных вирусов и модели поведения Win32 вирусов и их подсистем лежат в основе интеллектуальной системы распознавания Win32 вирусов.
2. Внедрение системы распознавания Win32 вирусов позволит сократить убытки от воздействия компьютерных вирусов на вычислительно-управляющие комплексы промышленных предприятий.
3. На базе разработанных моделей вычислительных систем, моделей программных объектов и моделей поведения вирусов возможно детальное моделирование процесса заражения вирусом и моделирование процесса лечения вируса с помощью инвертирования модели заражения, а также разработка методов лечения на основе данных моделей.
4. На основе разработанных моделей вычислительных систем возможно моделирование других классов дестабилизирующих программных воздействий, в том числе ошибок и уязвимостей, и разработка методов и систем для их распознавания, лечения или коррекции.
Реализация результатов работы. Разработанная система распознавания Win32 вирусов внедрена в вычислительно-управляющий комплекс "Эмаль-агрегат" промышленного предприятия ОАО "Волгокабель" (рис. А.1). Полученные научные результаты использованы в учебном процессе на кафедре "Электронные системы и информационная безопасность" ГОУ ВПО Самарский государственный технический университет при подготовке специалистов по специальности 090104 "Комплексная защита объектов информатизации" (рис. А.2).
Апробация работы. Основные результаты работы докладывались и обсуждались на следующих конференциях: VI Международная научно-техническая конференция студентов и аспирантов "Радиоэлектроника, электротехника и энергетика" (Москва, 2000); XXXVIII Международная научная студенческая конференция с участием аспирантов "Студент и научно-технический прогресс" (Новосибирск, 2000); III Всероссийская молодежная научно-техническая конференция "Будущее технической науки" (Нижний Новгород, 2004), III Международная научно-практическая конференция "Ашировские чтения" (Самара, 2006), V Всероссийская межвузовская научно-практическая конференция "Компьютерные технологии в науке, практике и образовании" (Самара, 2006).
Публикации. По теме диссертации опубликовано 13 работ, в том числе 1 статья в журнале из перечня, рекомендуемого ВАК РФ.
Структура и объем работы. Диссертация состоит из введения, 5 глав, заключения и 4 приложений. Она изложена на 175 страницах, содержит 75 рисунков, 63 таблицы и библиографический список из 105 наименований.

Список літератури

Выполненная диссертационная работа посвящена системному анализу компьютерных вирусов как самого крупного класса дестабилизирующих программных воздействий, анализу их влияния на вычислительно-управляющие комплексы промышленных предприятий и разработке метода распознавания компьютерных вирусов.
В работе получены следующие основные результаты:
1. Проведен анализ влияния вирусов на вычислительно-управляющие комплексы промышленных предприятий.
2. Разработан алгоритм исследования вирусов и проведено экспериментальное исследование компьютерных вирусов.
3. Проведен системный анализ вирусов на основе проведенного экспериментального исследования, выявлены основные подсистемы вирусов, методы их работы и взаимодействия с вычислительной средой.
4. Проанализированы методов распознавания компьютерных вирусов.
5. Построены системная модель состава вируса и функциональная классификация компьютерных вирусов. Разработаны требования к модели поведения вируса и проведен анализ соответствия им существующих моделей поведения.
6. Разработаны модели вычислительной среды - вычислительные машины СМ и CMCJH, а также модели программ, файлов, операционных систем и сервисных процедур для описания поведения программ.
7. Построены модели поведения: абстрактного компьютерного вируса, основных видов файловых Win32 вирусов и их подсистем.
8. Разработана архитектура, алгоритмы работы и программная реализация системы распознавания Win32 вирусов, проведено ее тестирование.
9. Разработана методика системного анализа программных воздействий.