Виявлення роботи кейлоггерів допомогою алгоритму дендритної клітинки з багаторазовою роздільною здатністю

Размещено на http://www.allbest.ru

Національний технічний університет України

«Київський політехнічний інститут імені Ігоря Сікорського»

Виявлення роботи кейлоггерів допомогою алгоритму дендритної клітинки з багаторазовою роздільною здатністю

Шибаєв Геннадій Дмитрович

здобувач вищої освіти фізико-технічного інституту

Гальчинський Леонід Юрійович

канд. техн. наук, доцент, доцент кафедри інформаційної безпеки

Анотація

Кейлоггер-- це програма, яка може цілком легальною, що дозволяє користувачам перемикатися між розкладками клавіатури, або викликати певні програмні завдання за допомогою «гарячих клавіш» (наприклад, Keyboard Ninja). Однак, значно частіше - це зловмисна програма, яка може завдати шкоди власнику комп'ютера, на який вона проникла.

Ключові слова: кейлоггер, MAC, API, MDCA, Spyrix, JetLogger

Вступ

У цій роботі було дослідженно можливість детектування кейлоггера у системі використовуючи алгоритм дендритної клітини з багаторазовою роздільною здатністю.

Алгоритм дендритної клітинки з багаторазовою роздільною здатністю

Штучні імунні системи засновані на одній або кількох взаємодіях між імунними клітинами та органами та були створені шляхом вивчення того, як поводиться імунна система людини. HIS прагне запропонувати захисні механізми та захист від інвазивних агентів, включаючи бактерії, паразитів і віруси. Імунологічні механізми, включаючи негативний відбір, клональний відбір, імунологічні мережі та теорію ризику послужили натхненням для створення IDS. Взаємодія між сигналами, які виділяють клітини та антигени, лежить в основі парадигми теорії ризику. Ці сигнали вказують на те, чи діє клітина або тканина нормально чи ненормально. Патоген-асоційований молекулярний шаблон (PAMP) [1], безпечні сигнали (SS) і сигнали небезпеки (DS) -- це три класи, на які поділяються сигнали. Вхідні дані повинні бути

представлені у вигляді двох категорій сигналу, DS і SS, категоріального значення, яке ідентифікує кожен екземпляр даних, і унікального ідентифікатора для кожного екземпляра даних.

Використання алгоритма

кейлоггер детектування клавіатура

Переривання клавіатури створюється операційною системою Windows кожного разу, коли натискається клавіша. Драйвер клавіатури перетворює переривання на системне повідомлення та після цього додає його до «черги повідомлень системного рівня» [4]. Операційна система пересилає повідомлення до «черги повідомлень на рівні прикладної програми» зазначеної сфокусованої програми, відстежуючи сфокусовану програму в момент створення переривання клавіатури. Операційна система просто викине цей ключ, якщо не зможе знайти певні цільові програми. У цьому процесі кейлоггери використовують API операційної системи надзвичайно низького рівня, такі як GetKeyboardState або GetAsyncKeyState[5], щоб перехоплювати сигнали натискання клавіш або безпосередньо виявляти переривання клавіатури.

Для того щоб змусити кейлоггер частіше записувати вхідний потік у файл ми розробили застосунок, що симулює вхідний потік натисків клавіш від користувача. Агент створює таємне вікно та встановлює його як активне перед початком симуляції. Приховане вікно отримує змодельовані натискання клавіш після їх створення та просто ігнорує їх. Після моделювання активне вікно повертається до початкового стану. Вищезгадана дія регулярно виконується агентом натискання клавіш.

Для визначення кейлоггера поміж усіх інших программ також було розроблено застосунок, що моніторить API виклики у системі від усіх програм, а саме:

Відстежування стану клавіатури

Робота з файлом

Відправка та отримання данних з мережі

Усі події ми розділили на наступні види: небезпечна подія, безпечна подія. Небезпечна подія - подія, що свідчить про аномалію. До таких подій ми віднесли:

Малий проміжок часу між двома послідовними викликами функції WriteFile.

Зв'язок між різними видами викликів функцій.

Безпечний сигнал - сигнал, що є надійним показником стаціонарної або типової продуктивності системи. До таких ми віднесли:

Різниця в часі між двома послідовно вихідними функціями коммунікації з мережею(send, sendto та socket).

Невелика кількість викликів функцій відстеження клавіатури.

Наші тести розроблені, щоб продемонструвати, що симуляція натискання клавіш може збільшити видимість дій кейлоггера та, як наслідок, може підвищити ефективність виявлення MDCA[3]. Ми зібрали кількість запитів API викликані кейлоггером Spyrix та JetLogger. На осі Y відображається нормалізоване значення частоти викликів API, а на осі X - час у секундах. Числа для нормалізованої частоти викликів API є сумою значень, які ми отримуємо протягом 10 секунд, поділених на максимальне значення протягом усього періоду. Кількість викликів API, щи були вікликані кейлоггером Spyrix та кейлоггером JetLogger показані на Рис.1 та Рис.2 відповідно.

Результати роботи алгоритму дендритної клітинки з багаторазовою роздільною здатністю відображені в Таблиці 1:

Таблиця 1.

Висновки

Здатність кеилоггера уникати виявлення визначає його успіх. У цьому дослідженні ми розглянули стратегії ухилення, які використовуються типовим програмним забезпеченням клавіатурних шпигунів і надав парадигму для виявлення кейлоггерів на основі індукційно-кореляційної кореляції. У цьому підході симуляція натискання клавіш збільшує частоту натискань клавіш, змушуючи кейлоггери генерувати більш шкідливу поведінку, щоб мати справу

Рис. 2. Тестування на прикладі кеилоггера JetLogger

з цими синтетичними введеннями. «Посилені» дії потім з'єднуються MDCA, щоб якнайшвидше знайти процес кейлоггера, щоб мінімізувати втрату конфіденційності [2]. Експериментальні результати показали, що розроблена нами архітектура може підвищити рівень виявлення кейлоггерів, одночасно зменшуючи ймовірність ефективного ухилення.

Список використаних джерел

Abdel-Basset, Abdel-Fatah & Sangaiah (2018) Abdel-Basset M, Abdel-Fatah L, Sangaiah AK. Metaheuristic algorithms: a comprehensive review. In: Sangaiah AK, Sheng M, Zhang Z, editors. Computational Intelligence for Multimedia Big Data on the Cloud with Engineering Applications. Cambridge: Academic Press; 2018. pp. 185-231.

Alarcon-Aquino & Barria (2009) Alarcon-Aquino V, Barria J. Change detection in time series using the maximal overlap discrete wavelet transform. Latin American Applied Research. 2009;39:145-152.

Chelly & Elouedi (2011) Chelly Z, Elouedi Z. Further exploration of the fuzzy dendritic cell method. Berlin: Springer; 2011. pp. 419-432.

Dasari et al. (2020) Dasari DB, Edamadaka G, Chowdary CS, Sobhana M. Anomaly-based network intrusion detection with ensemble classifiers and meta-heuristic scale (ECMHS) in traffic flow streams. Journal of Ambient Intelligence and Humanized Computing. 2020;12:9241-9268.

C. Herley and D. Florencio, "How to login from an Internet cafewithout worrying about keyloggers," in Symposium on UsablePrivacy and Security (SOUPS), vol. 6, 2006.

Размещено на Allbest.ru