シンボリック実行を利用したIOC変換

• Item type: Symposium(1)
• 公開日: 2018-10-15
• タイトル: シンボリック実行を利用したIOC変換
• タイトル / 言語: en
• タイトル: IOC Conversion with Symbolic Execution
• 言語: jpn
• キーワード / 主題Scheme: Other
• キーワード / 主題: シンボリック実行，マルウェア，IOC
• 資源タイプ / 資源タイプ識別子: http://purl.org/coar/resource_type/c_5794
• 資源タイプ: conference paper
• 著者所属: NTTセキュアプラットフォーム研究所
• 著者所属: NTTセキュアプラットフォーム研究所
• 著者所属: NTTセキュアプラットフォーム研究所
• 著者所属: 早稲田大学
• 著者所属(英): en
• 著者所属(英): NTT
• 著者所属(英): en
• 著者所属(英): NTT
• 著者所属(英): en
• 著者所属(英): NTT
• 著者所属(英): en
• 著者所属(英): Waseda University
• 著者名: 川古谷, 裕平; 岩村, 誠; 三好, 潤; 森, 達哉
• 著者名(英): Yuhei, Kawakoya; Makoto, Iwamura; Jun, Miyoshi; Tatsuya, Mori
• 論文抄録 / 内容記述タイプ: Other
• 論文抄録 / 内容記述: シンボリック実行を利用して，プログラムで記述された Entity Matching 用のシグネチャ （EM シグネチャ） を静的な EM シグネチャに自動変換する手法を提案する．この研究ではシグネチャのフォーマット変換をプログラムのパス探索問題に置き換え，プログラムが検知と判断する箇所に到達するためのパス制約をマルチパス探索を用いて算出し，その制約を EM シグネチャへと変換する．本手法を利用することで，記述の自由度が高いプログラム形式の EM シグネチャを，多くの機器が対応している静的な EM シグネチャに自動変換できる．ユースケースとして，Python で書かれた Cuckoo Sandbox のシグネチャを OpenIOC 形式に変換し，フォレンジックスに活用する場合について述べ，その実験結果を報告する．（301文字）
• 論文抄録(英) / 内容記述タイプ: Other
• 論文抄録(英) / 内容記述: We propose a technique to convert IOCs for entity matching (EM) written in a program language into static ones using symbolic execution. We translate a problem of format conversion into one of path explore in program analysis field. We first automatically compute path conditions for an execution to reach a certain program point to alert a detection, and then translate the path conditions into an EM signature. This technique allows us to write a signature in a major program language and convert that into static one, which is able to deploy to many appliances. As an use-case, we demonstrate a conversion of signatures used in Cuckoo Sandbox, which are written in Python, into OpenIOC formatted one, which is used in many forensics tools, such as Redline.
• 書誌レコードID / 識別子タイプ: NCID
• 書誌レコードID / 関連識別子: ISSN 1882-0840
• 書誌情報: コンピュータセキュリティシンポジウム2018論文集; 巻 2018, 号 2, p. 762-769
• 出版者 / 言語: ja
• 出版者: 情報処理学会