Security analytics per prevenzione e rilevazione di attacchi informatici avanzati

I sistemi di difesa tradizionali sono quasi inefficaci contro gli attacchi informatici avanzati, che sono spesso condotti manualmente, progettati per colpire il punto debole di una specifica vittima sfruttando attività di intelligence, tecnologiche e psicologiche. Inoltre, la diffusione dei dispositivi mobili li ha resi obiettivi interessanti per rubare informazioni confidenziali, e quindi il volume di malware per dispositivi mobili è cresciuto enormemente ed è diventato difficile da gestire. In questa tesi si offrono due principali contributi. Innanzitutto, si propone la prima soluzione per rilevare e prioritizzare attività di Advanced Persistent Threats (APTs), che sono attacchi informatici progettati per una specifica vittima e che sono condotti su lunghi periodi di tempo. Lavori esistenti su APTs si concentrano solo su linee guida per la prevenzione, oppure studiano specifici attacchi, mentre in questa tesi si propone il primo approccio multi-fattoriale per prioritizzare attività sospette e che è validato su dati da una rete reale di grandi dimensioni. In seguito, si propone il primo algoritmo per raggruppare famiglie di malware per dispositivi mobili che è in grado di identificare sia famiglie grandi sia famiglie di piccole dimensioni (incluse famiglie aventi un solo esemplare), e che può caratterizzare automaticamente il comportamento delle diverse famiglie di malware. In altre parole, questo è il primo algoritmo che è in grado sia di identificare e caratterizzare sia famiglie di grandi dimensioni sia di isolare campioni di nuove famiglie non viste in precedenza. Lavori esistenti considerano malware datasets di piccole dimensioni e obsoleti, oppure ignorano completamente le famiglie di malware di piccole dimensione che rappresentano i nuovi campioni su cui un analista di sicurezza dovrebbe concentrare la sua attenzione. Gli approcci proposti in questa tesi sono validati tramite esperimenti esaurienti condotti su dati reali ed eterogenei provenienti da reti di grandi dimensioni e da dataset di malware.