Evaluation of Local Security Event Management System vs. Standard Antivirus Software

Abstract

La detección y clasificación de las amenazas en los sistemas informáticos ha sido uno de los principales problemas investigados en Ciberseguridad. A medida que la tecnología evoluciona, las tácticas empleadas por los adversarios también se han vuelto más sofisticadas para evadir los sistemas de detección. En consecuencia, los sistemas que antes detectaban y clasificaban esas amenazas han quedado obsoletos. Este trabajo propone un sistema de detección basado en el análisis de eventos y en la adecuación del nivel de riesgo a la matriz ATT&CK de MITRE y a la Cyber Kill Chain. Se realizaron pruebas exhaustivas de ataques, utilizando nueve códigos de malware y aplicando tres técnicas de ofuscación diferentes. Cada código malicioso se analizó utilizando el sistema de gestión de eventos propuesto y también se ejecutó en un entorno controlado para examinar si los sistemas comerciales de detección de malware (antivirus) tenían éxito. Los resultados muestran que las técnicas de evasión, como la ofuscación y la extracción en memoria de las cargas útiles maliciosas, imponen dificultades inesperadas al software antivirus estándar.

The detection and classification of threats in computer systems has been one of the main problems researched in Cybersecurity. As technology evolves, the tactics employed by adversaries have also become more sophisticated to evade detection systems. In consequence, systems that previously detected and classified those threats are now outdated. This paper proposes a detection system based on the analysis of events and matching the risk level with the MITRE ATT&CK matrix and Cyber Kill Chain. Extensive testing of attacks, using nine malware codes and applying three different obfuscation techniques, was performed. Each malicious code was analyzed using the proposed event management system and also executed in a controlled environment to examine if commercial malware detection systems (antivirus) were successful. The results show that evading techniques such as obfuscation and in-memory extraction of malicious payloads, impose unexpected difficulties to standard antivirus software.