Tappan Zee (north) bridge

Dolan-Gavitt, Brendan; Leek, Tim; Hodosh, Josh; Lee, Wenke

doi:10.1145/2508859.2516697

Cited by 55 publications

(11 citation statements)

References 16 publications

Supporting

Mentioning

Contrasting

Unclassified

Order By: Relevance

“…Для сокращения этого разрыва применяется интроспекция виртуальных машин (virtual machine introspection, VMI) [8,9]. Современные подходы к интроспекции сопоставляют исходный код ядра ОС с выполняемыми инструкциями, чтобы получить сведения о расположении структур данных в памяти и их содержимом [10,11] или встраивают свои модули в гостевую систему [4]. Первый подход привязывает алгоритмы анализа к конкретным операционным системам и даже их недокументированным внутренним структурам, если исходные коды ОС недоступны.…”

Section: поиск поверхности атакиunclassified

“…Для построения профиля интроспекции применяются методы восстановления структур данных ядра. Такие методы можно разбить на 5 категорий: (1) с помощью компилятора [13,14], (2) с помощью отладчика [15,16], (3) с помощью гостевой программы [3,4,17,18,19], (4) с помощью бинарного анализа [20,21,22], (5) ручные подходы [23,24]. Первые две категории предполагают наличие у пользователя исходного кода ядра или отладочных символов в сборке, что может быть доступно не для всех систем.…”

Section: настройка интроспекцииunclassified

“…Например, если изначально помечались данные из недоверенных источников, попадание пометки в счётчик команд может свидетельствовать о попытке перехвата управления. В открытом доступе есть два инструмента для полносистемного динамического анализа помеченных данных для архитектуры x86-64: DECAF [3] и Panda [4]. Оба инструмента основаны на эмуляторе QEMU и используют динамическую бинарную трансляцию для отслеживания пометок.…”

Section: анализ помеченных данныхunclassified

“…При этом инструменты характеризуются строгой ОС зависимостью и не обеспечивают необходимой в вопросах безопасности изоляции инструмента и предмета анализа. Среди систем, реализующих полносистемный анализ, можно выделить: Virtuoso [17], TEMU [30], DECAF [3,31], PANDA [4], PyREBox [32], PEMU [33]. Virtuoso [17] применяет внедряемую программу-агент для обращения к интересующим данным.…”

Section: восстановление процессов и потоковunclassified

“…Для выделения из выполняющегося кода процессов, модулей, функций и других абстракций существуют методы интроспекции виртуальных машин [2]. В открытом доступе есть два инструмента для полносистемного динамического анализа помеченных данных для архитектуры x86-64: DECAF [3] и Panda [4]. Оба инструмента основаны на эмуляторе QEMU и используют динамическую бинарную трансляцию для отслеживания пометок.…”

Section: Introductionunclassified

See 4 more Smart Citations

Natch: using virtual machine introspection and taint analysis for detection attack surface of the software

Dovgalyuk¹,

Климушенкова²,

Fursova³

et al. 2022

Proceedings of ISP RAS

View full text Add to dashboard Cite

Natch is a tool that provides a convenient way of obtaining an attack surface. By attack surface we mean a list of executable files, dynamic libraries and functions that are responsible for input data processing (such as: files, network packets) during task execution. Functions that end up in the attack surface are possible sources of software vulnerabilities, so they should be given an increased attention during an analysis. At the heart of the Natch tool lay improved methods of tainted data tracking and virtual machines introspection. Natch is built on the basis of the full-system QEMU emulator, so it allows you to analyze any system components, including even the OS kernel and system drivers. The collected attack surface data is visualized by SNatch, which is tool for data post-processing and GUI implementation. SNatch comes with Natch tool by default. Attack surface obtaining can be built into CI/CD for integrational and system testing. A refined attack surface will increase the effectiveness of functional testing and fuzzing in the life cycle of secure software.

show abstract