Publikace

Článek

10.1109/ACCESS.2021.3094064

Katedra informační bezpečnosti

Distance metric learning aims to find the most appropriate distance metric parameters to improve similarity-based models such as k -Nearest Neighbors or k -Means. In this paper, we apply distance metric learning to the problem of malware detection. We focus on two tasks: (1) to classify malware and benign files with a minimal error rate, (2) to detect as much malware as possible while maintaining a low false positive rate. We propose a malware detection system using Particle Swarm Optimization that finds the feature weights to optimize the similarity measure. We compare the performance of the approach with three state-of-the-art distance metric learning techniques. We find that metrics trained in this way lead to significant improvements in the k -Nearest Neighbors classification. We conducted and evaluated experiments with more than 150,000 Windows-based malware and benign samples. Features consisted of metadata contained in the headers of executable files in the portable executable file format. Our experimental results show that our malware detection system based on distance metric learning achieves a 1.09 % error rate at 0.74 % false positive rate (FPR) and outperforms all machine learning algorithms considered in the experiment. Considering the second task related to keeping minimal FPR, we achieved a 1.15 % error rate at only 0.13 % FPR.

Stať ve sborníku

10.5220/0010202803760383

Katedra informační bezpečnosti

Active Directory is a prevalent technology used for managing identities in modern enterprises. As a variety of attacks exist against Active Directory environment, its security monitoring is crucial. This paper focuses on detection of one particular attack - Kerberoasting. The purpose of this attack is to gain access to service accounts’ credentials without the need for elevated access rights. The attack is nowadays typically detected using traditional ”signature-based” detection approaches. Those, however, often result in a high number of false alerts. In this paper, we adopt machine learning techniques, particularly several anomaly detection al- gorithms, for detection of Kerberoasting. The algorithms are evaluated on data from a real Active Directory environment and compared to the traditional detection approach, with a focus on reducing the number of false alerts.

Stať ve sborníku

10.5220/0010326306430652

Katedra informační bezpečnosti

The objective of malware family classification is to assign a tested sample to the correct malware family. This paper concerns the application of selected state-of-the-art distance metric learning techniques to malware families classification. The goal of distance metric learning algorithms is to find the most appropriate distance metric parameters concerning some optimization criteria. The distance metric learning algorithms considered in our research learn from metadata, mostly contained in the headers of executable files in the PE file format. Several experiments have been conducted on the dataset with 14,000 samples consisting of six prevalent malware families and benign files. The experimental results showed that the average precision and recall of the k-Nearest Neighbors algorithm using the distance learned on training data were improved significantly comparing when the non-learned distance was used. The k-Nearest Neighbors classifier using the Mahalanobis distance metric learned by the Metric Learning for Kernel Regression method achieved average precision and recall, both of 97.04% compared to Random Forest with a 96.44% of average precision and 96.41% of average recall, which achieved the best classification results among the state-of-the-art ML algorithms considered in our experiments.

Stať ve sborníku

10.5220/0010257105160525

Katedra informační bezpečnosti

An ever-growing number of malicious attacks on IT infrastructures calls for new and efficient methods of protection. In this paper, we focus on malware detection using the Long Short-Term Memory (LSTM) as a preprocessing tool to increase the classification accuracy of machine learning algorithms. To represent the malicious and benign programs, we used features extracted from files in the PE file format. We created a large dataset on which we performed common feature preparation and feature selection techniques. With the help of various LSTM and Bidirectional LSTM (BLSTM) network architectures, we further transformed the collected features and trained other supervised ML algorithms on both transformed and vanilla datasets. Transformation by deep (4 hidden layers) versions of LSTM and BLSTM networks performed well and decreased the error rate of several state-of-the-art machine learning algorithms significantly. For each machine learning algorithm considered in our experiments, the LSTM-based transformation of the feature space results in decreasing the corresponding error rate by more than 58.60 %, in comparison when the feature space was not transformed using LSTM network.

Stať ve sborníku

10.5220/0010255201720180

Katedra informační bezpečnosti

In this paper we propose an algorithm that can automatically detect the use of AES and automatically recover both the encryption key and the plaintext. It makes use of the fact that we can monitor accesses to the AES S-Box and deduce the desired data from these accesses; the approach is suitable to software-based AES implementations, both naíve and optimized. To demonstrate the feasibility of this approach we designed a tool which implements the algorithm for Microsoft Windows running on the Intel x86 architecture. The tool has been successfully tested against a set of applications using different cryptographic libraries and common user applications.

Stať ve sborníku

Katedra informační bezpečnosti

This paper extends our previous work, in which we proposed a Ring Oscillator (RO) based Physical Unclonable Function (PUF) on FPGA. Our approach is able to extract multiple output bits from each RO pair in contrary to the classical approach, where the frequencies of ROs are compared. In this work we investigate the behaviour of our proposed PUF design, together with two other similar proposals that are also based on extracting PUF bits from counter values. We evaluate these proposals under stable operating conditions. Furthermore, we compare the behaviour of all of the three designs when mutually asymmetric and symmetric ROs are used. All of the measurements were performed on Digilent Cmod S7 FPGA boards (Xilinx XC7S25-1CSGA225C).

Stať ve sborníku

10.5220/0008959600750083

Katedra informační bezpečnosti

In this paper we present the protocols for lightweight authentication and secure communication for IoT and embedded devices. The protocols are using a PUF/TRNG combined circuit as a basic building block. The goal is to show the possibilities of securing communication and authentication of the embedded systems, using PUF and TRNG for secure key generation, without requirement to store secrets on the device itself, thus allowing to significantly simplify the problem of key management on the simple hardware devices and microcontrollers, while allowing secure communication.

Stať ve sborníku

10.5220/0008955004320439

Katedra informační bezpečnosti

The paper focus is the detection of Kerberoasting attack in Active Directory environment. The purpose of the attack is to extract service accounts’ passwords without need for any special user access rights or privilege escalation, which makes it suitable for initial phases of network compromise and further pivot for more interesting accounts. The main goal of the paper is to discuss the monitoring possibilities, setting up detection rules built on top of native Active Directory auditing capabilities, including possible ways to minimize false positive alerts.

Stať ve sborníku

10.5220/0009180807250732

Katedra informační bezpečnosti

Distance metric learning is concerned with finding appropriate parameters of distance function with respect to a particular task. In this work, we present a malware detection system based on static analysis. We use k-nearest neighbors (KNN) classifier with weighted heterogeneous distance function that can handle nominal and numeric features extracted from portable executable file format. Our proposed approach attempts to specify the weights of the features using particle swarm optimization algorithm. The experimental results indicate that KNN with the weighted distance function improves classification accuracy significantly.

Mgr. Martin Jureček, Ph.D.

prof. Ing. Róbert Lórencz, CSc.

Katedra informační bezpečnosti

Tato práce představuje a demonstruje nové postupy v algebraické analýze zmenšených variant proudové šifry E0 ze standardu Bluetooth. V práci jsme formulovali podobu zmenšených variant šifry a ty reprezentujeme pomocí množiny polynomiálních rovnic. Naše práce odhaluje existenci možného lineárního vztahu mezi počtem keystream bitů a počtem neznámých, snižujíc výpočetní čas použitých řešičů. Náš nejlepší experiment odhalil počáteční konfiguraci za $178,5$ sekund pro 22 bitovou verzi E0. Pomocí lokálně citlivého hašování jsme zlepšili výpočetní čas SAT řešiče z 453,1 sekundy na 85,3 sekundy pro 19bitovou verzi E0.

Práce na DSpace

Ing. Josef Kokeš, Ph.D.

Ing. Michal Valenta, Ph.D.

Katedra počítačových systémů

Tato bakalářská práce se zabývá analýzou anonymity aplikace Anketa ČVUT, webové aplikace, kterou využívá České vysoké učení technické pro interní hodnocení výuky. Tato aplikace spadá do kategorie anonymních anketních systémů, což znamená, že data obsažená v dotaznících ode- vzdaných studenty by neměla být spojitelná s jejich identitou. Tato práce zkoumá především tuto vlastnost, její implementaci v rámci aplikace, a předestírá možné hrozby a nedostatky, které mohou ohrozit soukromí uživatelů. Analýza anonymity je v práci pojatá jako analýza hrozeb s využitím modelu LINDDUN jakožto hlavní metodologie pro modelování hrozeb soukromí. Pro- ces analýzy hrozeb spočívá ve studiu a popisu analyzované aplikace, a to jak pomocí veřejně dostupných informací, tak i pomocí zdrojových kódů a dalších částí systému, ke kterým nemají přístup běžní uživatelé. Po sběru informací následuje vytvoření diagramů datových toků sys- tému, které zobrazují jednotlivé komponenty systému a datové toky mezi nimi. Jednotlivé části systému a celý systém jsou poté prozkoumány z hlediska možných hrozeb soukromí, které spadají do některé kategorie hrozeb obsažené v metodologii LINDDUN. Zjištěné hrozby jsou následně hodnoceny z hlediska dopadu na anonymitu studentů. Tato práce popisuje vnitřní fungování aplikace, stejně jako konkrétní bezpečnostní hrozby, jako například chybnou konfiguraci JWT a další zranitelnosti nalezené v rámci systému. V závěru práce jsou navržena vhodná opatření ke zlepšení anonymity a ochrany soukromí uživatelů.

Práce na DSpace

Ing. Josef Kokeš, Ph.D.

Ing. Jiří Dostál, Ph.D.

Katedra informační bezpečnosti

Aplikace často pracují s citlivými informacemi, jako jsou hesla a šifrovací klíče, které se obvykle ukládají do operační paměti spolu s dalšími daty. Tato práce zkoumá účinnost a implementaci technik ochrany paměti v ekosystému .NET. Získané poznatky byly aplikovány na analýzu správce hesel KeePass, která vedla k odhalení zranitelnosti. Tato zranitelnost umožňuje útočníkovi obnovit hlavní heslo z paměti, i když je aplikace uzamčena nebo KeePass již není spuštěn.

Práce na DSpace

Mgr. Martin Jureček, Ph.D.

Ing. Matouš Kozák

Katedra informační bezpečnosti

Malware je dnes jednou z nejvýznamnějších bezpečnostních hrozeb. Pro účinnou ochranu před malwarem je zásadní jeho včasná detekce. Strojové učení se ukázalo jako užitečný nástroj pro automatickou detekci malwaru. Výzkum však ukázal, že modely strojového učení jsou zranitelné vůči adversariálním útokům. Tato práce se zabývá adversariálními učícími technikami v oblasti detekce malwaru. Cílem bylo aplikovat některé existující metody pro generování vzorků adversariálního malwaru, otestovat jejich účinnost proti vybraným detektorům malwaru, porovnat dosaženou míru úniku a praktickou použitelnost. Práce začíná úvodem do adversariálního strojového učení, následuje popis portable executable formátu souborů a přehled publikací, které se zaměřují na vytváření adversariálních vzorků malwaru. Dále jsou popsány techniky použité k vytvoření vzorků malwaru pro experimentální vyhodnocení. Nakonec jsou popsány provedené experimenty, zahrnující sledování času potřebného k vytvoření vzorků, změn velikosti vzorku po použití generátoru, testování účinnosti proti antivirovým programům, kombinování aplikace více generátorů na vzorek a jejich vyhodnocení. Pro účely experimentů bylo vybráno pět generátorů: Partial DOS, Full DOS, GAMMA padding, GAMMA section-injection a Gym-malware. Výsledky ukázaly, že použití optimalizovaných modifikací, na dříve detekovaný malware, může vést k nesprávnému vyhodnocení klasifikátorem jako benigního souboru. Bylo také zjištěno, že vygenerované vzorky škodlivého softwaru lze úspěšně použít proti jiným detekčním modelům, než které byly použity k jejich vygenerování, a že použitím kombinací generátorů lze vytvořit nové vzorky, které se vyhnou detekci. Experimenty ukazují, že největší potenciál v praxi má generátor Gym-malware, který využívá přístup zpětnovazebního učení. Tento generátor dosáhl průměrné doby generování vzorku 5,73 sekundy a nejvyšší míry úniku 67 %. Při použití v kombinaci se sebou samým, se míra úniku zlepšila na 78 %.

Práce na DSpace

Ing. Jiří Dostál, Ph.D.

Ing. Tomáš Luňák

Katedra informační bezpečnosti

V této diplomová práce představujeme žebříček deseti nejčastějších zranitelností objevujících se v zařízeních Internetu Věcí. Hlavním cílem práce bylo vytvořit žebříčky z veřejných dat s transparentním postupem protože nyní neexistují žebříčky, které by tyto požadavky splňovaly. Například projekt OWASP publikoval nejnovější žebříček v roce 2018 a ostatní aktuální žebříčky nemají popsaný postup a doložené zdroje dat. V této práci představujeme žebříček deseti nejčastějších zranitelností v zařízeních Internetu Věcí. Dále prezentujeme podobný žebříček pouze pro kamerová zařízení a nejobvyklejší zranitelnost pro různé kategorie chytrých zařízení. Pro vytvoření žebříčků byl implementován nástroj pro sběr zranitelností ve frameworku Scrapy. Navíc byla provedena analýza třech kategorií zranitelností v kontextu Internetu Věcí. Jedná se o zranitelnosti z kategorií Access Control, Overflow a Password Management.

Práce na DSpace

Ing. Dominik Soukup

Ing. Simona Fornůsek, Ph.D.

Katedra informační bezpečnosti

Tato diplomová práce se zabývá problematikou klasifikace především šifrovaného síťového provozu pomocí algoritmů strojového učení. Strojové učení je podoblast umělé inteligence, která silně závisí na dostatečně obsáhlých a obecných datových sadách. Prvním cílem je analýza metod, které v průběhu času takovou klasifikaci nejen vylepšují, ale zároveň s tím iterativně tvoří aktuální datovou sadu. Druhým cílem je vytvořit prototyp softwarového frameworku, který je toho schopen a zároveň je schopen klasifikaci vyhodnocovat. V analytické části je čtenář seznámen s metodou aktivního učení a analyzuje a diskutuje state-of-the-art a vhodnost metod pro oblast síťového provozu. V návrhové části definujeme požadavky a navrhujeme architekturu řešení. Poslední část práce je věnována experimentům. Výstupem práce je prototyp softwarového frameworku a vyhodnocení jednotlivých metod aktivního učení pro oblast síťového provozu.

Práce na DSpace

prof. Ing. Róbert Lórencz, CSc.

Assoc. Prof. Brice Colombier, Ph.D.
Mgr. Jakub Breier, Ph.D.
doc. Ing. Zdeněk Martinásek, Ph.D.

Katedra informační bezpečnosti

Práce na DSpace

doc. Ing. Tomáš Čejka, Ph.D.

Ing. Simona Fornůsek, Ph.D.

Katedra informační bezpečnosti

Tato práce se zabývá návrhem a implementací nástroje pro online paketovou analýzu síťového provozu. Cílem práce je poskytnout síťovému administrátorovi informace, na základě kterých dokáže nastavit obranné mechanismy pro mitigaci DDoS útoků. Nástroj poskytuje přehled o aktuální struktuře síťového provozu a na základě charakteristik volumetrických DDoS útoků dokáže probíhající útok v síťovém provozu identifikovat a doporučit taková mitigační pravidla, která útok potlačí. Nástroj pro ukládání dat k analýze využívá speciální pravděpodobnostní datové struktury zvané sketche, které dokáží efektivně uchovávat velké množství dat s nízkou paměťovou náročností. Výkonnost a funkčnost nástroje byla otestována v laboratorních podmínkách nad zkušebními daty při rychlostech až 100 Gb/s.

Práce na DSpace

Ing. Petr Socha

Dr.-Ing. Martin Novotný

Katedra informační bezpečnosti

Rainbow, postkvantové podpisové schéma postavené na řešení soustavy kvadratických rovnic, je kandidát na nový standard připravovaný Národním institutem standardů a technologie (NIST). Základem práce je navrhnout cílený útok pomocí postranních kanálů na referenční implementaci, která byla dodána pro testovací účely během procesu standardizace. Útok je testován na~32bitovém STM32F3 ARM mikrokontroléru. Spolu s útokem jsou navrhnuta vhodná protiopatření, která zvyšují implementační bezpečnost. Implementovaná protiopatření jsou vyhodnocena z hlediska úniku informace.

Práce na DSpace

Ing. Josef Kokeš, Ph.D.

Katedra informační bezpečnosti

Tato diplomová práce se zabývá útoky na internetové obchody, zaměřuje se konkrétně na útok nazvaný web skimming. Při tomto útoku útočníci upraví zdrojový kód webové stránky a k odcizení platebních údajů dochází přímo v prohlížeči uživatele. Práce analyzuje zranitelnosti, které jsou využívány k napadnutí webových stránek, způsoby, jakými je škodlivý kód ukryt ve zdrojovém kódu internetového obchodu, a metody odcizení platebních údajů. Navrhuje způsoby obrany před web skimming útoky a implementuje doplněk do prohlížeče, jehož cílem je těmto útokům zabránit.

Práce na DSpace

Ing. Josef Kokeš, Ph.D.

Ing. Jiří Dostál, Ph.D.

Katedra informační bezpečnosti

Tato diplomová práce se zabývá bezpečnostní analýzou programu Drive Snapshot. Práce prezentuje výsledky reverzní analýzy klíčových částí programu, popisuje použité kryptografické algoritmy a vyhodnocuje bezpečnost programu. Během bezpečnostní analýzy byla objevena řada bezpečnostních zranitelností, které mohou oslabit použitou kryptografii nebo ohrozit bezpečnost hesel anebo vytvořených záloh.

Práce na DSpace

Ing. Karel Hynek, Ph.D.

Ing. Jiří Dostál, Ph.D.

Katedra informační bezpečnosti

Tato diplomová práce se zabývá problematikou IoT malwaru a možnostmi jeho detekce v počítačových sítích na úrovni monitoringu síťových toků. V~práci identifikujeme klíčové aspekty chování IoT malwaru a oddělěně prezentujeme možnosti jejich řešení. Práce navrhuje nový přístup pro detekce nakažených zařízení za použití kombinace síťových indikátorů. Navrhovaná metoda byla implementovaná ve formě softwarového prototypu, schopného zpracovávat reálný síťový provoz v NEMEA systému. Finální řešení bylo vyhodnoceno na anonymizovaných záchytech a aktuálních vzorcích malwaru.

Práce na DSpace

Ing. Pavel Kubalík, Ph.D.

Ing. Jiří Buček, Ph.D.

Katedra informační bezpečnosti

Bezpečnostní kódy, také označované jako samoopravné, se používají v digitálních komunikačních systémech k zabezpečení dat před šumem v průběhu přenosu. Existuje mnoho metod, jak dosáhnout této ochrany, všechny jsou matematické povahy. V nedávné minulosti byla vytvořena sada výukových materiálů v systému Wolfram Mathematica demonstrující některé z těchto metod. Tato práce sadu rozšiřuje o vybrané pokročilé kódy.

Práce na DSpace

Ing. Simona Fornůsek, Ph.D.

Ing. Jiří Dostál, Ph.D.

Katedra informační bezpečnosti

Active Directory je nástrojem centralizované administrace a správy identit v mnoha organizacích. Zajištění jeho zabezpečení je nezbytné k ochraně přístupových dat uživatelů, podnikových systémů a citlivých dat před neoprávněným přístupem. Bezpečnostní monitorování prostředí Active Directory se obvykle provádí pomocí detekčních pravidel založených na signaturách. Ty však nejsou vždy účinné a dostatečné, zejména pro útoky, které jsou podobné legitimním aktivitám z hlediska auditních dat. Tato práce aplikuje techniky strojového učení pro detekci dvou takových útočných technik - Password Spraying a Kerberoasting. Algoritmy strojového učení jsou aplikovány s využitím příznaků z auditu událostí systému Windows a vyhodnoceny na datech pocházejících ze skutečného Active Directory prostředí. Nejlepší přístupy jsou implementovány jako detekční pravidla pro praktické použití na platformě Splunk. Navrhované řešení dokázalo zlepšit detekční schopnosti a současně snížit počet falešných poplachů ve srovnání s přístupy založenými na signaturách, a to pro obě zkoumané techniky útoků.

Práce na DSpace

prof. Ing. Róbert Lórencz, CSc.

Prof. Mark Stamp; Assoc. Prof. Carles Mateu, PhD.; Ing. Sebastián García, Ph.D.

Katedra informační bezpečnosti

Práce na DSpace

prof. Ing. Róbert Lórencz, CSc.

Assoc. Prof. Jens-Peter Kaps, PhD.; Assoc. Prof. Florent Bernard; doc. Ing. Dominik Macko, PhD.

Katedra informační bezpečnosti

Práce na DSpace

prof. Ing. Róbert Lórencz, CSc.

Prof. Kris Gaj, PhD.; Assoc. Prof. Brice Colombier; doc. Ing. Zdeněk Vašíček, Ph.D.

Katedra informační bezpečnosti

Práce na DSpace