شناسایی روت کیت ها بر اساس تکنیک های تشخیصی ایستا و پویا

همانطوری که روت کیت ها از روش های مختلفی برای نصب خود استفاده می کنند، روش های شناسایی نیز از نظرنوع و اجرا با هم متفاوت هستند.طبق یافته های لاکهید مارتین سه نوع نشانه برای فعالیت مخرب وجود دارد:اتمی، محاسبه ایو رفتاری.در این مقاله این سه عامل را به دو مقوله اصلی در تشخیص روت کیت ها تقسیم کرده ایم که این دو مقوله عبارتند از:تکنیک های تشخیصی ایستا و تکنیک های تشخیصی پویا.که تکنیک های تشخیصی ایستا به ویژگی های فیزیکی اتمی سیستمعامل می پردازد و تلاش می کند تا حضور اختصاصی یک روت کیت را شناسایی کند این تحلیل شامل اشیای ثابت هسته، APIها، محتوای موجود در داخل و خارج از سیستم است. می توان تجزیه و تحلیل ایستا را به صورت لحظه ای بایت به بایت از یکسیستم انجام داد و این کار نیازی به در حال اجرا بودن سیستم ندارد. ممکن است ویژگی های رفتاری از طریق تجزیه و تحلیلها ایستای مکاشفه ای شناسایی شوند. و تکنیک های تشخیصی پویا تلاش می کند تا اطلاعاتی درباره فعالیت روت کیت ها ازیک سیستم در حال اجرا جمع آوری کند. اطلاعات جمع آوری شده در تجزیه و تحلیل پویا شامل ماژول های هسته ای پویایبارگذاری شده و تغییرات موجود در فعالیت سیستم و در نتیجه جریان اطلاعات در سیستم است. تجزیه و تحلیل پویا تلاش میکند تا شواهدی که تنها می توان در یک سیستم در حال اجرای فعال و نه از طریق تجزیه و تحلیل های ایستا به دست آورد، راشناسایی کند.

کلیدواژه ها:

روت کیت ، تکنیک های تشخیصی ایستا ، تکنیک های تشخیصی پویا ، روش های مکاشفه ای ، جرم شناسی حافظه