Title	การตรวจหาการเปลี่ยนแปลงซอฟต์แวร์ขณะทำงาน / สถาพร สงวนวงษ์ = Runtime detection of software modification
Author	Sathaporn Sa-Ngounwong
Imprint	2554
Connect to	http://cuir.car.chula.ac.th/handle/123456789/31726
Descript	ก-ฎ, 70 แผ่น : ภาพประกอบ

การเปลี่ยนแปลงซอฟต์แวร์ในขณะทำงาน มีจุดมุ่งหมายในแง่ลบเป็นส่วนใหญ่ ตัวอย่างเช่น การเปลี่ยนแปลงซอฟต์แวร์เพื่อละเมิดการใช้งานซอฟต์แวร์ หรือ การเปลี่ยนแปลงซอฟต์แวร์เพื่อโจมตีระบบคอมพิวเตอร์ เป็นต้น การเปลี่ยนแปลงซอฟต์แวร์ขณะทำงานสามารถกระทำได้หลายวิธี ซึ่งการทำซอฟต์แวร์ปรสิต เป็นวิธีการเปลี่ยนแปลงซอฟต์แวร์ขณะทำงานที่มีประสิทธิภาพวิธีหนึ่ง งานวิจัยนี้ได้นำเสนอวิธีการที่มีชื่อว่า “การตรวจหาคำสั่งระบบเฉพาะแบบ” เพื่อใช้สำหรับตรวจหาการเปลี่ยนแปลงซอฟต์แวร์ขณะทำงานที่เกิดจากการทำงานของซอฟต์แวร์ปรสิต การทำงานของการตรวจหาที่งานวิจัยนี้นำเสนอ ในขั้นแรกทำการเลือกคำสั่งระบบที่สามารถก่อให้เกิดการเปลี่ยนแปลงซอฟต์แวร์ขณะทำงานได้ออกมาหนึ่งกลุ่มเรียกว่า คำสั่งระบบเฉพาะแบบ ซึ่งสามารถแบ่งย่อยได้เป็น 3 ประเภท ได้แก่ คำสั่งระบบที่ก่อให้เกิดการเปลี่ยนแปลงระหว่างโปรเซส คำสั่งระบบที่ก่อให้เกิดการเปลี่ยนแปลงภายในโปรเซส และคำสั่งระบบที่เพิ่มโอกาสให้เกิดการเปลี่ยนแปลงภายในโปรเซส จากนั้นจะทำการตรวจหารูปแบบการโจมตีของซอฟต์แวร์ปรสิต โดยพิจารณาจากรูปแบบการเรียกใช้งาน และความสัมพันธ์ระหว่างคำสั่งระบบเฉพาะแบบดังกล่าว
การตรวจหาการเปลี่ยนแปลงซอฟต์แวร์ขณะทำงานที่เกิดจากการทำงานของซอฟต์แวร์ปรสิต โดยใช้การตรวจหาคำสั่งระบบเฉพาะแบบนั้น สามารถทำการตรวจหาได้รวดเร็ว และตรวจหาได้อย่างแม่นยำ ซึ่งรายละเอียดการทำงาน และผลการทำงานของวิธีที่นำเสนอได้ถูกแสดงไว้ในหัวข้อผลการวิเคราะห์ข้อมูล
Runtime software modification is mostly in negative proposes for software piracy or software attack. Runtime software modification can be introduced in many ways. Software parasites are some effective way of this modification method. We propose a method called “Restricted System calls Detecting” for detecting the modification caused by software parasite. We select group of system calls that can lead to the Runtime software modification which are called “Restricted system calls”. We categorize the Restricted system calls into three groups, Other process modification system calls, Self-modification system calls and Encouraged modification system calls. We evaluate the software parasite attack by finding the pattern of Restricted system calls calling of running software. Our proposed method can detect the software modification caused by software parasite with high speed and accuracy that we conclude the good result in data analysis section.