MX2007013025A

MX2007013025A - Sistemas y metodos para detectar e inhibir ataques mediante el uso de colmenas.

Info

Publication number: MX2007013025A
Application number: MX2007013025A
Authority: MX
Inventors: Stylianos Sidiroglou; Angelos D Keromytis; Kostas G Anagnostakis
Original assignee: Univ Columbia
Priority date: 2005-04-18
Filing date: 2006-04-18
Publication date: 2008-01-11
Also published as: AU2006236283A1; EP1872222A1; US7904959B2; JP2008537267A; CN101185063A; WO2006113781A1; US20080141374A1; CA2604544A1; BRPI0610855A2; RU2007142368A

Abstract

De acuerdo con algunas modalidades de la presente invencion, se proporcionan sistemas y metodos que protegen una aplicacion de ataques. En algunas modalidades de la presente invencion, el trafico proveniente de una red de comunicaciones se recibe por un componente de deteccion de anomalias. El componente de deteccion de anomalias monitorea el trafico recibido y dirige el trafico ya sea hacia la aplicacion protegida o hacia una colmena, donde al colmena comparte toda la informacion de estado con la aplicacion. Si el trafico recibido se dirige a la colmena, la colmena monitorea el trafico respecto a un ataque. Si ocurre un ataque, la colmena repara la aplicacion protegida (por ejemplo, descartando cualquier cambio de estado incurrido a partir del ataque, revirtiendo a la informacion de estado previamente guardada, etc.).

Description

SBSTEMAS Y MÉTODOS PARA DETECTAR E B iHflBBR MEPBANTE EL US© DE COLM ' ' Referencia Cruzada @@n S@BS@¡ftud Reiaejemacüa Esta solicitud reclama el beneficio bajo la 35 U.S.C. § 1 19(e) de la Solicitud de Patente Provisional de los Estados Unidos No. 60/672,280, presentada el 18 de Abril de 2005, la cual se incorpora en la presente para referencia en su totalidad.

Campo ú® Ba iravene?ón La presente invención se refiere al campo de seguridad en computadoras. Más particularmente, la presente invención se refiere a sistemas y métodos para detectar e inhibir ataques de software.

Antecedentes úe ia [isweoncnéip) Los virus de computadoras, serpentines, trojans, piratas informativos, ataques de recuperación de clave, ejecutables de mala intención, sondas, etc., son una amenaza a los usuarios de computadoras conectados a las redes de computadoras públicas (tales como la I nternet) y/o redes privadas (tales como redes de computadoras de corporativos). En respuesta a estas amenazas, muchas computadoras se protegen mediante software de antivirus y muros cortafuegos. Sin embargo, estas medidas preventivas no siempre son adecuadas. Por ejemplo, ha habido muchos casos donde los serpentines y otros ataques han tomado ventaja de una vulnerabilidad conocida en soflware de compuiadora (por ejemplo, en íecnología de muros coríafuego) el día después de que el público se hace conscieníe de ia vulnerabilidad. Debido a íal lanzamienío rápido, el parche necesario para corregir la vulnerabilidad podría no desplegarse a liempo para evitar el ataque. De manera si milar, la mayoría del software aníi-virus depende de acíualizaciones a ese sofíware a fin de que las fi rmas de virus conocidos puedan ulilizarse para reconocer amenazas. En el caso de un serpeníín de "día-cero" o virus (por ejemplo, un serpentín o virus que acaba de lanzarse) , la mayoría de los sisíemas de compuíadora son compleiamenle vulnerables al aíaque debido a que no se ha puesío disponi ble actualización de fi rma o parche conocido alguno. Debido al nivel de acíividad maliciosa en la I nternet, las organizaciones despliegan mecanismos para detecíar y responder a nuevos ataques o a actividad sospechosa, algunas veces referidos como sistemas de prevención de intrusos. Sin embargo, muchos de estos sistemas de prevención de intrusos se limitan a prolección coníra aíaques ya conocidos debido a que usan sisíemas de deíección de intrusos en base a reglas. Los mecanismos de deíección, lales como colmenas y sisíemas de detección de anomalías, se han desarrollado para usarse en sistemas de defensa-reactivos más poderosos. En contrasle con los sisíemas de detección de intrusos, las colmenas y sistemas de detección de anomalías ofrecen la posibilidad de detectar y responder a ataques previamente desconocidos o aíaques de "día- cero" . Una col mena general mente se defi ne como una trampa que se establece para detectar o desviar intentos de uso no autorizado de sistemas de i nformación. Si n embargo, debe observarse que las colmenas no ven tráfico o actividad legíti mos. Una razón de esto se debe a que las colmenas con frecuencia se colocan en una ubicación de red a la que no tiene razón de acceder el tráfico legíti mo. Otra razón es que las colmenas normalmente son demasiado tenías para procesar tráfico en el tiempo requerido para aplicaciones del mundo real. Todavía otra razón es que las colmenas no tienen las capacidades para dar servicio completo a tráfico legíti mo debido, por ejemplo, a que las col menas no comparten por completo el estado con el sistema real . Los sistemas de detección de anomalías protegen un recurso al monitorear accesos propuestos y usar heurísticas para clasificar los accesos como normales o anómalos. Las colmenas y los sistemas de detección de anomalías ofrecen diferentes transacciones entre exactitud y el alcance de ataques que pueden detectarse. Las colmenas pueden i nsirumentarse de fuerte manera para detectar ataques de manera exacta, pero dependen de un atacanle que iníeníe explotar una vulnerabilidad coníra ellos. Esto hace a las colmenas buenas en la defección de serpenti nes de exploración , pero i neficaces contra ataques manual mente dirigidos o topológicos y serpenti nes de lista de ataque. Además, las colmenas se utilizan tipicamenle solo para aplicaciones de lipo servidor. Los sistemas de detección de anomalías pueden detectar teóricamenle ambos ti pos de ataques, pero normalmente son mucho menos exactos que las colmenas. La mayoría de los sislemas de detección ofrece una transacción entre velocidades de detección falso positivas y falso negativas. Por ejemplo, con frecuencia es posible sintonizar el sistema para detectar ataques más potenciales, si n embargo, esto es un riesgo incrementado de clasificar erróneamente el tráfico legítimo. Aunque el posible hacer más insensi ble a los ataques a un sistema de detección de anomal ías, esto crea el riesgo de omitir algunos ataques reales. Debido a que los sistemas de detección de anomal ías pueden afectar negativameníe el tráfico legítimo al derribar, por ejemplo, demandas legítimas, los diseñadores de sisíemas con frecuencia si níonizan el sisíema para bajas velocidades de íransmisión de falso positivos que pueden clasificar erróneamente ataques como tráfico legítimo. De acuerdo con lo anterior, es deseable proporcionar sistemas y métodos que superen estas y otras deficiencias de la técnica anterior.

¡Breve D®s@róp©8( ?p? ú® Ha Dcw neoéipi En algunas modalidades de la presente invención, se proporcionan sistemas y métodos para proteger a las aplicaciones de los ataques. El tráfico recibido (por ejemplo, el íráfico de red) se transmite a través de un componente de detección de anomalías. El componente de detección de anomalías predice si el tráfico reci bido es un ataque potencial sobre la aplicación y el componente de deíección de anomalías se siníoniza para lograr una baja velocidad de iransmisión de falsos negalivos. En respuesta a recibir una indicación del componente de detección de anomalías de que el tráfico puede ser un ataque, se transmite el tráfico recibido a una colmena. La colmena puede ser una instancia insírumeníada de la aplicación que comparle la información de eslado con la aplicación. Debe observarse que, en algunas modalidades, la colmena puede ser al menos una porción de la aplicación protegida en sí. La colmena monitorea el tráfico recibido respecto a ataques sobre la aplicación. En respuesta a recibir una indicación de la colmena acerca de que el tráfico recibido es un ataque a la aplicación, la colmena proporciona una instrucción de reparar la información de estado de la aplicación.

En algunas modalidades, la reparación puede incluir la reversión de la información de estado de la aplicación a la información de estado previamente guardada. En algunas modalidades, la reparación puede incluir descartar la información de estado de la aplicación. En algunas modalidades, la reparación puede incluir iniciar una nueva instancia de la aplicación información de estado previamente guardada. En algunas modalidades, puede proporcionarse un filtro que filtre el tráfico antes de transmilir el tráfico recibido al componente de detección de anomalías. La filtración puede basarse en al menos un contenido de carga y fuente del ataque. En algunas modalidades, la reíroalimenlación puede proporcionarse por la colmena. En algunas modalidades, la retroalimentación de la colmena puede utilizarse para actualizar el componente de detección de anomalías (por ejemplo, los predictores y modelos asociados con el componeníe de delección de anomalías) y/o el filíro. En algunas modalidades, la reíroalimenlación puede utilizarse para sintonizar de manera automática el componente de detección de anomal ías y/o el filtro. Se han perfilado de este modo, más bien de una manera amplia, las características más importantes de la invención con objeto de que pueda entenderse mejor la descripción detallada de la misma que se presenta a continuación, y con objeto de que la presente contribución a la materia pueda apreciarse mejor. Por supuesto, existen características adicionales de la invención que serán descritas posteriormente en la presente y que formarán la materia sujeto de las reivindicaciones anexas a la misma. En esíe aspecío, antes de explicar ai menos una modalidad de la invención a detalle, debe entenderse que la invención no se limita en su aplicación a los detalles de construcción y a las instalaciones de los componentes establecidos en la siguiente descripción o ilustrados en los dibujos. La invención es capaz de otras modalidades y de practicarse y llevarse a cabo de diversas maneras. También, debe entenderse que la fraseología y terminología empleados en la presente son para propósiíos de descripción y no deben considerarse como limiianíes. Por lo lanto, aquellos expertos en la materia apreciarán que la concepción, sobre la cual se basa esta exposición, puede utilizarse fácilmente como una base para el diseño de otras esírucíuras, métodos y sistemas para llevar a cabo los diversos propósitos de la presente invención. Por consiguiente, es importaníe que las reivindicaciones se consideren incluyendo lales conslrucciones equivalentes siempre y cuando no se aparten del espíritu y alcance de la presente invención. Esto, junto con oíros objelos de la invención, junio con las diversas caracíerísíicas de novedad que caracterizan la invención, se señalan con particularidad en las reivindicaciones anexas y que forman paríe de esta exposición. Para un mejor entendimiento de la invención, sus ventajas operativas y los objetos específicos logrados por sus usos, debe hacerse referencia a los dibujos acompañantes y la materia descriptiva en la cual se ilustran las modalidades preferidas de la invención.

Breve DescrSpeióra de ios Dibujos Las anteriores y otras ventajas de la presente invención serán aparentes a partir de la consideración de la siguieníe descripción detallada, tomada en conjunto con los dibujos acompañaníes, en los cuales los caracíeres de referencia similar se refieren a parles similares a íravés de los mismos, y en los cuales: La FIG. 1 es un diagrama esquemático de un sistema ilustrativo, adecuado para implementación de una aplicación que monitorea tráfico y protege las aplicaciones de ataques de acuerdo con algunas modalidades de la presente invención; La FIG . 2 es un ejemplo detallado del servidor y uno de los clientes de la FIG. 1 que puede utilizarse de acuerdo con algunas modalidades de ia presente invención; La FIG. 3 es un diagrama esquemático de otra instalación ilustrativa, adecuada para monitorear tráfico y proteger las aplicaciones de aíaques de acuerdo con algunas modalidades de la presente invención; La FIG. 4 es un diagrama de flujo ilustralivo para proíeger una aplicación de ataques de acuerdo con algunas modalidades de la presente invención; La FIG. 5 es un diagrama esquemático de otra instalación ilustrativa, adecuada para monitorear tráfico y proteger a las aplicaciones de ataques de acuerdo con algunas modalidades de la presente invención; La FIG. 6 es un diagrama esquemático de otra instalación ilustraíiva, adecuada para monilorear iráfico y proteger las aplicaciones de ataques de acuerdo con algunas modalidades de la presente invención; La FIG. 7 es un ejemplo de una asignación de memoria en base a pmalloc(), según se utiliza de acuerdo con algunas modalidades de la presente invención; y La FIG. 8 es un ejemplo de una transformación de código C, llevada a cabo de acuerdo con algunas modalidades de la presente invención.

DaseripeBén DdftaBBaiági ú® Ba llpv®?p)©l.ó?p) En la siguieníe descripción, se esíablecen numerosos detalles específicos con respecto a los sisíemas y méíodos de la preseníe invención y los ambienles en los cuales íales sistemas y métodos pueden operar, etc. , con objeto de proporcionar un concienzudo entendimienío de la preseníe invención. Será apareníe para un experto en la materia, sin embargo, que la preseníe invención puede practicarse sin íales deíalles específicos, y que ciertas caracteríslicas que son muy conocidas en la materia no se describen en detalle, con objeto de evitar complicación de la materia sujeto de la presente invención. Además, se entenderá que los ejemplos proporcionados a continuación son ejemplares y que se contempla que existan otros métodos y sistemas que se encuenlran deníro del alcance de la présenle invención. De acuerdo con la preseníe invención, se proporcionan sisíemas y mélodos para la protección mejorada de ataques en una aplicación. Estos sistemas y métodos proporcionan al menos un detector de anomalías y al menos una colmena (algunas veces referida como una "colmena sombra"). Estas colmenas sombra permiten que los signos de un ataque sean detectados y que la aplicación se proteja de tal ataque. El detector de anomalías monitorea todo el tráfico dirigido a una aplicación protegida. En lugar de permitir que la aplicación procese el tráfico que se considera anómalo, el tráfico anómalo se procesa por la colmena. Según se utiliza en la presente, la colmena es una instancia de la aplicación protegida que comparte sustancialmente todo estado interno con una instancia regular de la aplicación. Sin embargo, la colmena puede proporcionarse en diversos enfoques. Por ejemplo, en algunas modalidades, la aplicación de colmena puede ser al menos una porción de la aplicación protegida en sí. Usando la colmena, los ataques contra la colmena se deteclan y la colmena repara la aplicación (por ejemplo, cualquier cambio de estado en que se incurra se descarta). En otras modalidades, la aplicación puede restaurarse y cargarse con la información de estado que se guardó antes del ataque. El tráfico legítimo que se clasifica erróneamente por el detector de anomalías puede validarse por la colmena y puede procesarse correctamente por el sistema y de manera transparente por el usuario. Debe observarse que una colmena sombra puede usarse para protección tanto del servidor como de las aplicaciones del cliente. Algunas modalidades de la presente invención permiten que los diseñadores del sistema sintonicen el sistema de detección de anomalías para transmisiones de datos negafivas, falsas, bajas, reduciendo así el riesgo de clasificar erróneamente un aíaque real como íráfico legítimo, ya que la colmena retira cualquier positivo falso (o una indicación activada como falsa de un ataque). La presente invención puede defenderse de ataques que se adapían a un sitio específico con un estado interno particular. La FIG. 1 es un diagrama esquemático de un sistema ilusíraíivo 100, adecuado para implemeníación de sisiemas y méíodos para proteger a una aplicación de ataques de acuerdo con algunas modalidades de la presente invención. Refiriéndose a la FIG. 1 , se muestra un sistema ejemplar 100 para implemeníar la présenle invención. Como se ilusíra, el sisíema 100 puede incluir uno o más clientes 102. Los clientes 102 pueden ser locales entre sí o ser remotos entre sí, y se conectan por uno o más enlaces de comunicación 104 a una red de comunicaciones 106 que se enlaza a través de un enlace de comunicaciones 108 a un servidor 1 10. Diversas modalidades de la presente solicitud pueden implementarse en al menos el servidor y los clientes. En el sistema 100, el servidor 1 10 puede ser un servidor adecuado para ejecutar una aplicación, tal como un procesador, una compuíadora, un disposiíivo procesador de daíos, o una combinación de tales dispositivos. La red de comunicaciones 106 puede ser cualquier red de computadoras adecuada, incluyendo la I nterneí, una Intranet, una red de área amplia (WAN), una red de área local (LAN), una red inalámbrica, una red de línea de suscripíor digiíal (DSL), una red de relé de estrucíura, una red de modo de iransferencia asincrono (ATM), una red privada viríual (VPN), o cualquier combinación de cualquiera de las mismas. Los enlaces de comunicaciones 104 y 108 pueden ser cualquier enlace de comunicaciones adecuado para la comunicación de daíos eníre clientes 102 y el servidor 100, tal como enlaces de redes, enlaces de marcación, enlaces inalámbricos, enlaces conectados por cable, etc. Los clientes 102 pueden ser computadoras personales, compuíadoras portátiles, computadoras de estrucíura principal , íerminales, despliegues de daíos, buscadores en Internet, asistentes digitales personales (PDAs), paginadores de dos vías, terminales inalámbricas, teléfonos portátiles, etc. , o cualquier combinación de los mismos. Los clieníes 102 y el servidor 1 10 pueden localizarse en cualquier ubicación adecuada. En una modalidad, los clieníes 102 y el servidor 110 pueden localizarse deníro de una organización. De manera allernaíiva, los clienles 102 y el servidor 1 10 pueden dislribuirse enlre múlliples organizaciones. Ei servidor y uno de los clieníes, los cuales se ilustran en la FIG. 1 , se Musirán con mayor delalle en la FIG. 2. Refiriéndose a la FIG. 2, el cliente 102 puede incluir el procesador 202, el dispositivo de despliegue 204, el dispositivo de entrada 206 y la memoria 208, los cuales pueden interconectarse. En una modalidad preferida, la memoria 208 contiene un dispositivo de almacenamiento para almacenar un programa cliente para controlar el procesador 202. La memoria 208 también puede contener una aplicación para proteger al menos otra aplicación de los ataques. En algunas modalidades, las aplicaciones pueden ser residentes en la memoria del cliente 102 o el servidor 1 10. Aunque los métodos y sistemas de la presente invención se describen en la presente, como implementados en un cliente o servidor, esto es solo ilustrativo. La aplicación puede implementarse en cualquier plataforma adecuada (por ejemplo, una computadora personal (PC), una computadora de esírucíura principal, una lerminal simple, un despliegue de datos, un paginador de dos vías, una terminal inalámbrica, un teléfono portátil, una compuladora porlátil , una minicomputadora personal , una H/PC, una PC de automóvil, una computadora transportable, un asistente digital personal (PDA), un teléfono celular y PDA combinados, etc.) para proporcionar tales características. Una ilustración simplificada del sisfema de algunas modalidades de acuerdo con la presente invención se ilustra en la FIG. 3. Como se muestra, el sistema 300 incluye un sensor de detección de anomalías 310. El sensor de detección de anomal ías 310 recibe el tráfico proveniente de la red 320. El sensor de detección de anomalías 310 puede dirigir el tráfico ya sea a la aplicación protegida 330 o una versión de colmena de la aplicación 340. En algunas modalidades, el sensor de detección de anomalías 310 puede dirigir el tráfico a la aplicación protegida 330 o la colmena 340 en base a una predicción realizada por el sensor de detección de anomal ías 310. Por ejemplo, el sensor de detección de anomalías 310 puede realizar una predicción sobre el tráfico proveniente de la red 320 en base al menos en parte a la realización de un análisis de carga o análisis de comportamiento de la red. Como se describió previamente, la versión de colmena de la aplicación 340 es una instancia de la aplicación protegida 330 que comparte sustancialmente todo estado interno con una instancia regular de la aplicación. En algunas modalidades, la aplicación de colmena puede ser al menos una porción de la aplicación protegida en sí. Usando la colmena 340, los ataques contra la colmena 340 se detectan y se descarta cualquier cambio en que se incurra. El tráfico 320 que se clasifica de manera errónea por el sensor de detección de anomalías 310 puede validarse por la colmena 340 y puede procesarse de manera correcta por el sistema 300 y de manera transparente hacia el usuario. Tanto la colmena 340 como la aplicación prolegida 330 se conectan a la misma información de estado del proceso 350. En general , la información de estado del proceso 350 puede incluir, por ejemplo, valores variables , información de asignación de memoria, información de estado relacionada con componentes o dispositivos asociados, o cualquier oíra información adecuada que puede necesiíarse para definir el estado actual de un proceso. En algunas modalidades, las colmenas, tal como la colmena 340, puede proporcionar sensores de detección de anomalías o cualquier otro componeníe de sisíema adecuado 300 con reíroalimeníación. Como se muesíra en la FIG. 3, el panal 340 puede proporcionar retroalimentación 360 al sensor de detección de anomalías 310. Por ejemplo, el panal 340 puede proporcionar información con respecto al ataque hacia el sensor de detección de anomalías 310. El sensor deíecíor de anomalías 310 puede uíilizar la retroalimentación 360 proveniente de la colmena 340 para actualizar los predictores usados deníro del sensor de deíección de anomalías 310 o utilizan la retroalimentación 360 en cualquier otro enfoque para sintonizar el sensor de detección de anomalías 310.

La FIG. 4 es un diagrama de flujo iluslralivo que iluslra la interacción del sensor de detección de anomalías y la colmena de acuerdo con algunas modalidades de la presente invención. El íráfico proveniente de una red se recibe por el sistema en el sensor de detección de anomalías (410 en la FIG. 4). El sensor de detección de anomalías determina si el tráfico recibido es o no un ataque en la aplicación (420 en la FIG. 4). Si el sensor de detección de anomalías predice que el tráfico recibido es un ataque, el tráfico recibido se dirige a la colmena (430 en la FIG. 4). El tráfico que llega a la colmena se procesa por la colmena y se moniíorea respecto a ataques (440 en la FIG. 4). Si no se deíecfa ataque por la colmena, el procesamiento del código se manera de manera transpareníe por el sislema (450 en la FIG. 4). Desde el punió de vista del usuario, parece que el tráfico se procesara por la aplicación protegida. La colmena íambién puede informar al sensor de deíección de anomalías que realizó una predicción errónea (450 en la FIG. 4). El sensor de detección de anomalías puede usar esta información para mejorar las predicciones futuras realizadas por el sensor de defección de anomal ías. De oíro modo, si la colmena deíermina que el íráfico recibido es un ataque, la colmena puede descartar cualquier cambio de esíado originado por el alaque (460 en la FIG. 4). La colmena también puede informar al sensor de detección de anomalías de una predicción correcta. La información con respecío a predicciones correctas también puede uíilizarse para mejorar predicciones fuluras realizadas por el sensor de defección de anomalías. Alternaíivameníe, si el sensor de deíección de anomalías predice que el tráfico recibido no es un ataque, el íráfico recibido se dirige a la aplicación prolegida (470 en la FIG. 4). En esíe caso, el íráfico recibido no se dirige a la versión de colmena. La FIG. 5 muestra otra instalación ilustrativa para el sistema de detección de ataque, de acuerdo con algunas modalidades de la présenle invención. En la instalación de la FIG. 5, el sistema 500 incluye un motor de filtración 510, una instalación de sensores de detección de anomalías 520, una versión de colmena de la aplicación 530, una aplicación protegida 540, un estado de proceso actual 550 y una declaración de proceso guardada para la repetidora 560. El motor de filtración 510 recibe el tráfico proveniente de la red 570. El motor de filtración 510 puede utilizarse por el sistema 500 para bloquear ataques conocidos dentro diel tráfico recibido 570. La filíración puede realizarse, por ejemplo, en base al coníenido de carga, la fueníe del ataque, una combinación de cualquier metodología de filtración adecuada, o medíanle cualquier otro enfoque adecuado para la filtración del tráfico recibido. Como se muestra en la FIG. 5, el motor de filtración 510 puede configurarse como un estrato entre la instalación de los sensores de detección de anomalías 520 y el tráfico proveniente dé la red 570. El motor de filtración 510 puede utilizarse para derribar tipos específicos de tráfico antes de que se lleve a cabo cualquier procesamiento adicional .

Si el tráfico proveniente de la red 570 pasa a través del motor de filtración 510, la instalación de uno o más de los sensores de detección de anomalías 520 puede usarse para procesar el tráfico recibido 570. Los ejemplos de tipos de sensores de detección de anomalías 520 que pueden utilizarse en el sistema 500 incluyen sensores que llevan a cabo análisis de carga y detectores de anomalías de comportamiento de la red. Sin embargo, debe observarse que puede utilizarse cualquier sensor de detección de anomalías adecuado, de acuerdo con la presente invención. Debe observarse que los resultados pueden mejorar si los sensores de detección de anomalías 520 se sintonizan a una sensibilidad elevada. Aunque esto incrementa la cantidad de falsos positivos reportados por los sensores de detección de anomalías 520, asegura aún más que los ataques no alcancen las aplicaciones protegidas 540. En base, al menos en parte, a la predicción del uno o más sensores de detección de anomalías 520, el sistema 500invoca ya sea la instancia regular de la aplicación protegida 540 o la versión de colmena de la aplicación 530. Como se describió previamente, la versión de colmena de la aplicación 530 es una inslancia inslrumenlada de la aplicación, que comparíe sustancialmente todo estado interno con una instancia regular de la aplicación. Usando la colmena 530, se detectan los ataques contra la colmena 530 y se descarta cualquier cambio de esíado incurrido. Tanío la colmena 530 como la aplicación protegida 540 se conectan a la misma información de estado del proceso 550. Sin embargo, en respuesta a la defección de un ataque o falla, la colmena 530 puede revertir cualquier cambio de estado a un estado bueno conocido. Por ejemplo, la colmena 530 puede revertir el eslado que lenía la aplicación prolegida 540 anles del procesamiento de la demanda maliciosa (por ejemplo, una declaración de proceso guardada para la repetidora 560). De manera alternativa, la colmena 530 puede reiniciar la aplicación o iniciar una nueva instancia de la aplicación que había guardado previamente la información de estado en respuesta a la detección de un ataque. En algunas modalidades, la colmena 530 puede proporcionar el motor de filtración 510, uno o más sensores de detección de anomalías 520, o cualquier otro componente de sistema adecuado 500 con retroalimentación. Por ejemplo, en respuesta a que la colmena 530 detecta un ataque real , determina un falso positivo, o no detecta ataques, la colmena 530 puede proporcionar información a uno o más de los sensores de detección de anomal ías 520. El uno o más sensores de detección de anomalías 520 puede usar la retroalimentación 580 de la colmena 530 para actualizar los predictores usados dentro del uno o más sensores de detección de anomalías 520 o usar la retroalimentación 580 en cualquier otro enfoque adecuado para sintonizar el uno o más sensores de detección de anomalías 520. Por ejemplo, el uno o más sensores de detección de anomalías 520 pueden uíilizar la información para bloquear ataques similares en el futuro y/o aprender de predicciones correctas e incorrectas del pasado. En otro ejemplo, los predicíores o modelos de predicción pueden actualizarse si no se deíecían aíaques . También puede uíilizarse cualquier oíro enfoque adecuado para la auío-si níonización y actualización del uno o más sensores de detección de anomal ías 520. En otro ejemplo, en respuesta a que la col mena 530 detecta un ataque real , determina un falso posilivo, o no deíecta ataques, la colmena 530 puede proporcionar i nformación (por ejemplo, retroalimeníación 590) al motor de filtración 51 0. El moíor de filtración 51 0 puede utilizar la retroalimenlación 590 provenieníe de la colmena 530 para actualizar los filtros usados por el motor de filtración 510 o usar la reiroalimeníación 590 en cualquier otro enfoque adecuado para sintonizar el molor de filtración 51 0. Por ejemplo, el motor de filtración 51 0 puede usar la retroalimentación 590 para bloquear ataques similares en el futuro y/o aprender de predicciones correctas e incorrectas del pasado. También puede utilizarse cualquier otro enfoque adecuado de auto-sintonización y actualización del motor de filtración 51 0. Debe observarse que el tráfico a través del sistema 500, incluyendo tráfico de ataque, puede interactuar con la aplicación protegida a través de procesamiento mediante el motor de filtración 510 y uno o más sensores de detección de anomalías 520, donde no se permite acceso del canal lateral . Ciertas modalidades de la presente i nvención pueden integrarse tanto con servidores como con clientes. En algunas modalidades, la colmena sombra puede acoplarse de manera exacta con un servidor. La aplicación del servidor puede protegerse al tener las demandas sospechosas desviadas a una versión de colmena de la aplicación de servidor en la cual la aplicación de servidor y la colmena lienen funcionalidad y eslado de reflejo. La aplicación prolegida puede ser, por ejemplo, un servidor en red. En algunas modalidades, la colmena sombra puede acoplarse de manera exacta con un cliente. La aplicación de cliente puede protegerse de, por ejemplo, ataques pasivos donde el atacante invite a un usuario del cliente a descargar datos que contienen un ataque (por ejemplo, la vulnerabilidad de sobre-flujo de regulador, reciente, en el manejo TPEG de Microsoft Internet Explorer). La aplicación protegida puede utilizarse para proteger, por ejemplo, un explorador en red o cualquier otra aplicación en el cliente de un ataque contenido en un solo paquete, un flujo entero o un conjunto de flujos.

Aunque la presente invención se ha descrito e ilustrado en las modalidades ejemplares anteriores como acoplado de manera exacta a fin de que los atacantes no puedan explotar las diferencias entre el esíado de la colmena y el estado de la aplicación debido a que ambas comparten el mismo estado, debe observarse que la presente exposición se ha elaborado solo a manera de ejemplo, y que numerosos cambios en los detalles de construcción y combinación e instalación de los procesos y equipo, pueden hacerse sin apartarse del espíritu y alcance de la invención. Por ejemplo, puede proporcionarse una configuración acoplada de manera débil de acuerdo con algunas modalidades de la presente invención. La colmena puede residir en un sistema diferente y no compartiría estado con la aplicación protegida. Esta modalidad acoplada de manera débil permite que la colmena se maneje por una entidad separada, proporcionando así al usuario la habilidad de manejar de manera externa la colmena. Como se muestra, los componentes de filtración y detección de anomalías (por ejemplo, motor de filtración 510 y uno o más sensores de defección de anomalías 520) pueden acoplarse de manera exacta con la aplicación protegida. De manera alternaliva, los componenles de fillración y de detección de anomalías podrían centrarse en un punfo de adición natural en la topología de la red, tal como el muro cortafuego. La FIG. 6 muesíra un diagrama de otra insíalación ilustraíiva para el sisíema de deíección de aíaques de acuerdo con algunas modalidades de la presente invención. Como se muestra en la instalación de la FIG. 6, los componentes de detección de anomalías y de filtración pueden implementarse con un procesador en red como una balanza de carga del cliente escalable y una instalación de sensores esnórkel que se ejecutan en computadoras conectadas al panel del procesador de trabajo en red que implementa todas las heurísticas de delección. Por ejemplo, el procesador de írabajo en red seleccionado puede ser un procesador de írabajo en red IXP1200. En algunas modalidades, ninguna de las heurísticas de deíección se implemenía en ésta, ya que los procesadores de trabajo en red se diseñan para simple avance y carecen de capacidad de procesamienío requerida para las velocidades necesarias y pueden ser más difíciles de programar y depurar que oíros procesadores . Sin embargo, en algunas modalidades, las heurísíicas de detección pueden implementarse en el procesador de trabajo en red. El componente de detección de anomalías proporciona la habilidad de desviar demandas maliciosas hacia la colmena. Por ejemplo, en servidores en red, una definición razonable del coníexto de ataque es una demanda HTTP. Para este propósito, el componenle de deíección de anomalías conslruye una demanda, ejecuta las heurísticas de detección de anomalías y avanza la demanda dependiendo del resultado. Ya que este procesamiento puede llevarse a cabo a nivel HTTP, se proporciona una función similar a una representación HTTP. Los componentes de detección de anomalías del servidor de colmena acoplado de manera exacta pueden implementarse al aumentar una representación HTTP con la habilidad para aplicar la heurística de detección de Ejecución de Carga Abstracta en la demanda entrante y dirigirla de acuerdo con su decisión. Para el escenario cliente, puede ulilizarse una solución allernativa en base a monitoreo pasivo. En es?a configuración, las corrienles TCP de las conexiones HTTP pueden reconstruirse y el protocolo HTTP puede decodificarse para extraer objelos sospechosos. Un objelo puede entonces examinarse directamenle al aplicar un algoritmo heurístico. Si los objetos parecen sospechosos, se da principio a un servidor que reproduce la respuesta sospechosa y dirige un explorador de colmena a este servidor. La traducción de la carga y la detección de sobre-flujo en el regulador a través de la ejecución de carga abstracta pueden utilizarse como heurísíica para deíección de anomalías. El algoriímo de íraducción de carga deriva huellas digiiales de serpentines de rápida difusión medianíe ideníificación de subseries populares en el tráfico de red. La detección de sobre-flujo de regulador a través de ejecución de carga abstracta detecta ataques al sobre-fl ujo de regulador medianíe búsqueda de secuencias lo suficieníemeníe largas de instrucciones válidas en el tráfico de red. Las secuencias largas de instrucciones válidas pueden aparecer en datos no maliciosos y es aquí donde puede implementarse la colmena. Este mecanismo de detección es atraciivo debido a que puede aplicarse a alaques individuales y acliva la detección después de encontrar la primera insíancia de un alaque. Eslo es a diferencia de muchos mecanismos de deíección de anomalías que se requieren para atestiguar múltiples ataques antes de eíiqueíar los ataques como anómalos. En algunas modalidades, puede utilizarse una herramienta de transformación de código para crear una colmena. Esta herramienta recibe la aplicación original como entrada y la inserta en el código de colmena. Aunque los errores de violación de memoria se describen básicameníe en estas modalidades, debe observarse que la presente invención también puede uíilizarse para alrapar y deiecíar otras violaciones. TXL, en lenguaje en base a reglas, funcional e híbrido, puede utilizarse para llevar a cabo las transformaciones de código, donde GCC C (Compilador GNU C) puede utilizarse como el extremo frontal. TXL es muy adecuado para llevar a cabo transformación de fuente a fuente, sin embargo, también podrían utilizarse una muy aplica variedad de lenguajes. La gramática responsable de ordenar la entrada de origen se específica en una noíación similar a Exíended Backus Naur. En algunas modalidades, la colmena se crea al mover lodos los reguladores estáticos a la pila. Los reguladores estáticos pueden moverse a la pila al asignar dinámicamente cada regulador después de introducir la función en la cual se declaró previamente. Estos reguladores pueden des-asignarse después de abandonar la función, ya sea de manera implícita (por ejemplo, al alcanzar el final del cuerpo de la función) o de manera explícita (por ejemplo, a través de una declaración de retorno). Debe observarse que debido a que se instrumentan regiones de memoria asignadas, se detectan accesos ilegales con respecto al solapamiento de señaladores. Para la asignación de memoria, se creó una nueva versión de mallocO, llamado pmallocQ. La FIG. 7 es un ejemplo ilustrativo de una asignación de memoria en base a pmallocQ de acuerdo con algunas modalidades de la presente invención. Como se muestra en la FIG. 7, la asignación de memoria en base a pmalloc() asigna tres páginas de memoria 710. Aparte de la página básica, pmalloc() asigna dos páginas adicionales, protegidas contra escritura, no rellenas, 720, que encuadran el regulador solicitado. Las páginas extra pueden representarse mmapQ a partir de /dev/cero como de solo lectura. Debido a que mmapQ opera a granularidad de página de memoria, las demandas de memoria se aproximan a la página más cercana. El señalador 730 que se registra por pmalloc() puede ajustarse para atrapar inmediatamente cualquier sobre-flujo o subflujo del regulador. La FIG. 8 muestra un ejemplo de una traducción de código de acuerdo con algunas modalidades de la presente invención. El código original se muestra en el bloque 810 y el código traducido se muestra en el bloque 820. Los reguladores que se asignan a través de mallocQ pueden cambiarse a pmalloc() 830. Esto puede lograrse al examinar declaraciones en la fuente y su transformación a señaladores donde el tamaño se asigna con una llamada de función mallocQ. El lenguaje C también puede ajustarse para liberar la memoria 840 antes de que regrese la función. Cualquier sobre-flujo o sub-flujo en un regulador asignado a través de pmallocQ puede originar que el proceso reciba una señal de Violación de Segmentación (SEGV), lá cual es capíurada por un manejador de señal que se agrega al código fueníe en principalQ. El manejador de señal noíifica al sisíema óperalivo aboríar iodos los cambios de esíado elaborados por el proceso mienlras se procesa esía demanda. Para hacer esto, puede agregarse una nueva llamada de sislema al sislema operativo llamada transacciónQ. La función de transacciónQ se invoca condicionalmente en tres lugares en el código a discreción de la función de permitir_sombra(). La función de permitir_sombra() se vuelve verdadera cuando se ejecuta la versión de colmena del código. La primer ubicación en que se coloca esa IransacciónQ es en el interior del ciclo de procesamiento principal antes de iniciar el manejo de una nueva demanda. Esto indica al sistema operativo que ha comenzado una nueva transacción. El sistema operativo realiza un respaldo de todos los permisos de memoria y marca todas las páginas de memoria de pila como de solo lectura. A medida que se ejecuta el proceso y modifica estas páginas, el sisfema operativo mantiene una copia de la página original y asigna una nueva página, a la cual se dan los permisos de la página original desde el respaldo, para utilizar el proceso. Esío se realiza de la misma manera en que funcionan las copias en sislemas operativos modernos. Esta llamada de transacción() puede colocarse manualmente, por ejemplo, por el programador o diseñador del sistema. Ambas copias de la página se mantienen hasta que se llame nuevamente la IransacciónQ, como se describirá a continuación. Después de terminar de manejar una demanda, dentro del ciclo de procesamiento principal, puede invocarse la segunda transacción() de ubicación. Esio se realiza aquí para indicar al sislema operativo que se ha completado exitosamente una transacción. El sistema operativo descarta entonces todas las copias originales de páginas de memoria que se han modificado durante el procesamiento de la demanda. Esta llamada de transacción también puede colocarse manualmente. La tercer ubicación en que puede invocarse la transacción es dentro del manejador de señal . Esta ubicación puede instalarse de manera automática mediante modalidades de la presente invención. Esto se realiza para indicar al sistema operativo que se ha detectado un ataque (excepción). El sistema operativo descarta entonces todas las páginas de memoria modificadas al restaurar las páginas originales. En algunas modalidades, un mecanismo similar al arriba descrito puede conformarse alrededor de un sistema de archivo. Esto puede realizarse, por ejemplo, al utilizar una copia privada de una memoria intermedia de regulador para el procesamiento realizado en la versión de colmena del código. Debe entenderse que la invención no se limita en su aplicación a los detalles de construcción y a las instalaciones de los componentes establecidos en la siguiente descripción o ilustrados en los dibujos. La invención es capaz de otras modalidades y de practicarse y llevarse a cabo de diversas maneras. También, debe entenderse que la fraseología y terminología empleadas en ia presente son con el propósito de descripción y no deben considerarse como limitantes. Por lo tanto, aquellos expertos en la materia apreciarán que la concepción, sobre la cual se basa esta exposición, puede utilizarse fácilmente como una base para el diseño de otras estructuras, métodos y sistemas para llevar a cabo los diversos propósitos de la presente invención. Por consiguiente, es importante que las reivindicaciones se consideren incluyendo tales construcciones equivaleníes, siempre y cuando no se aparíen de la preseníe invención. Aunque la presente invención se ha descrito e ilustrado en las modalidades ejemplares anteriores, se enliende que la présenle exposición se ha elaborado solo a manera de ejemplo y que pueden hacerse numerosos cambios en los delalles de implementación de la invención sin apartarse del espíritu y alcance de la invención, la cual se limita solo por las reivindicaciones que siguen.

Claims

( EDWDMDOC ClOí^ ES 1 . Un método para proteger aplicaciones de ataques , caracterizado el método porque comprende: recibir el tráfico proveniente de una red de comunicaciones que intenta llegar a una aplicación; transmitir el tráfico recibido a través de un componenle de delección de anomalías, en donde el componente de detección de anomal ías predice si el tráfico recibido es un ataque potencial sobre la aplicación y en donde el componente de detección de anomalías se sintoniza para lograr una baja velocidad de transmisión de falsos negativos; recibir una indicación proveniente del componente de detección de anomalías con relación a la predicción del ataque potencial sobre la aplicación; en respuesta a la recepción de la indicación proveniente del componente de detección de anomalías, transmitir el tráfico recibido a una colmena, en donde la colmena es una instancia de la aplicación que comparte información de estado con la aplicación y en donde la colmena monitorea el tráfico recibido respecto a ataques sobre la aplicación; recibir una indicación proveniente de la colmena de que el tráfico recibido es un ataque sobre la aplicación; y recibir una indicación proveniente de la colmena para reparar la información de estado de la aplicación. 2. El método según la reivindicación 1 , caracterizado porque la reparación comprende además revertir la información de esíado de la aplicación a la información de esíado previamente guardada. 3. El método según la reivindicación 1 , caracíerizado porque la reparación comprende además descartar la información de estado de la aplicación. 4. El método según la reivindicación 1 , caracterizado porque la reparación comprende además iniciar una nueva instancia de la aplicación con la información de esíado previameníe guardada. 5. El méíodo según la reivindicación 1 , caraclerizado porque comprende además filtrar el tráfico recibido antes de transmitir el tráfico recibido al componente de detección de anomalías. 6. El método según la reivindicación 5, caraclerizado porque la filtración se basa en al menos uno del contenido de carga y la fuente del ataque. 7. El método según la reivindicación 1 , caracterizado porque comprende además transmitir la retroalimentación proveniente de la colmena hacia el componente de detección de anomalías. 8. El método según la reivindicación 7, caracterizado porque comprende además actualizar el componente de detección de anomalías en base al menos en parte a la retroalimentación proveniente de la colmena. 9. El método según la reivindicación 7, caracíerizado porque comprende además aclualizar al menos uno de los prediclores y modelos asociados con el componeníe de delección de anomalías. 10. El méiodo según la reivindicación 7, caracterizado porque comprende además usar la retroalimentación para si ntonizar automáticamente el componente de detección de anomal ías. 1 1 . El método según la reivindicación 7, caracterizado porque comprende además usar la retroalimentación para si ntonizar automáticamente un filtro. 12. El método según la reivindicación 1 , caracterizado porque la aplicación es una de una aplicación de servidor, una aplicación de cliente, un sisíema operalivo, y una aplicación en una estrucíura principal . 13. El método según la reivindicación 1 , caracterizado porque comprende además: proporcionar un filtro antes del componeníe de delección de anomal ías; transmitir la retroalimentación proveniente de la colmena al filtro; y actualizar el filtro en base al menos en parte a la retroalimentación proveniente de la colmena. 14. Un sistema para proteger a las aplicaciones de los ataques, caracterizado el sistema porque comprende: un componente de detección de anomalías que se sintoniza para lograr una baja velocidad de transmisión de falsos negativos, en donde el componente de detección de anomalías se configura para: recibir el íráfico proveniente de una red de comunicaciones que i ntenla llegar a la aplicación; y predecir si el íráfico recibido es un alaque poíencial sobre la aplicación; y una colmena que es una i nstancia de la aplicación que comparte i nformación de estado con la aplicación, en donde la colmena se configura para: recibir una indicación proveniente del componente de detección de anomalías con relación a la predicción del ataque polencial ; moniíorear el íráfico recibido respecío a alaques sobre la aplicación; y en respuesía a la deíerminación de que el íráfico recibido es un ataque sobre la aplicación, reparar la información de estado de la aplicación. 1 5. El sistema según la reivindicación 14, caracterizado porque la colmena se configura además para reveríir la i nformación de estado de la aplicación a la información de estado previameníe guardada. 16. El sislema según la reivindicación 14, caracterizado porque la colmena se configura además para descartar la información de estado de la aplicación. 1 7. El sistema según la reivi ndicación 14, caracterizado porque la colmena se configura además para iniciar una nueva instancia de la aplicación con i nformación de estado previamente guardada. 1 8. El sistema según la reivindicación 14, caracterizado porque comprende además un filtro que filtra el tráfico recibido antes de la transmisión del tráfico recibido al componente de detección de anomalías. 19. El sistema según la reivindicación 14, caracterizado porque la colmena se configura además para transmitir la retroalimentación proveniente de la colmena hacia el componente de detección de anomalías. 20. El sistema según la reivindicación 19, caracterizado porque el componente de detección de anomalías se configura además para actualizar el componente de detección de anomalías en base al menos en parte a la retroalimentación proveniente de la colmena. 21. El sistema según la reivindicación 19, caracterizado porque el componente de detección de anomalías se configura además para actualizar al menos uno de los predictores y modelos asociados con el componente de detección de anomalías. 22. El sistema según la reivindicación 19, caracterizado porque el componente de detección de anomalías se configura además para sintonizar el componente de detección de anomalías en base al menos en parte a la retroalimentación. 23. El sistema según la reivindicación 14, caracterizado porque comprende además un filtro configurado para recibir el tráfico antes que el componente de detección de anomalías, en donde el filtro recibe la retroalimentación proveniente de la colmena y se actualiza en base, al menos en parte, a la retroalimentación proveniente de la colmena. L ES0W3EM De acuerdo con algunas modalidades de la presente invención, se proporcionan sistemas y métodos que protegen una aplicación de ataques. En algunas modalidades de la presente invención, el tráfico proveniente de una red de comunicaciones se recibe por un componente de detección de anomalías. El componente de detección de anomalías monitorea el tráfico recibido y dirige el tráfico ya sea hacia la aplicación protegida o hacia una colmena, donde la colmena comparte toda la información de estado con la aplicación. Si el tráfico recibido se dirige a la colmena, la colmena monitorea el tráfico respecto a un ataque. Si ocurre un ataque, la colmena repara la aplicación protegida (por ejemplo, descartando cualquier cambio de estado incurrido a partir del ataque, revirtiendo a la información de estado previamente guardada, etc. ).