論文の概要: SysComb: Fine-Grained Transparent System Call Filtering for Attack Surface Reduction

• arxiv url: http://arxiv.org/abs/2608.26871v1
• Date: Thu, 27 Aug 2026 09:34:10 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-08-28 16:30:58.331199
• Title: SysComb: Fine-Grained Transparent System Call Filtering for Attack Surface Reduction
• Title（参考訳）: SysComb:攻撃面低減のための微細粒透明システムコールフィルタ
• Abstract要約: SysCombは、アプリケーション状態に基づいて時間的に特定されたシステムコールフィルタを強制する、新しいeBPFベースのソリューションである。 SysCombは、開発者は2つの異なる実行戦略を選択できる: seccomp-like、状態遷移が実行された後に新しい特権が取得されないことを保証する。
• 参考スコア（独自算出の注目度）: 1.3480777640269428
• License: http://creativecommons.org/licenses/by/4.0/
• Abstract: Restricting the system calls available to applications shrinks the kernel's attack surface and greatly mitigates the impact of compromised programs. Recent approaches showcase techniques to generate system call filters, however, all existing solutions require either kernel or application modifications to activate them at runtime. This is intrusive, error-prone, and often impractical, especially when the code is maintained by external parties. This paper presents SysComb, a novel eBPF-based solution to enforce temporally-specialized system call filters based on the application state, without requiring any modification to the application or the kernel code, and thus addressing the above limitations. Moreover, SysComb lets the developer choose between two distinct enforcement strategies: seccomp-like, ensuring no new privileges are gained after a state transition is performed, and least-privilege, which applies to each state the most restrictive filter. We evaluated SysComb using widely used software, showcasing accurate state-aware system call filtering and an overhead comparable to built-in kernel solutions, demonstrating the practicality of our approach.
• Abstract（参考訳）: アプリケーションに利用可能なシステムコールの制限は、カーネルの攻撃面を縮小し、妥協プログラムの影響を大幅に軽減する。 最近のアプローチでは、システムコールフィルタを生成するテクニックが紹介されているが、既存のソリューションはすべて、実行時にそれらを実行するためにカーネルまたはアプリケーションの変更が必要である。 これは侵入的であり、エラーを起こし、特にコードが外部の当事者によって維持されている場合、しばしば実践的ではない。 本稿では,アプリケーションやカーネルコードの変更を必要とせず,時間的に特定されたシステムコールフィルタを強制する,新しいeBPFベースのソリューションであるSysCombについて述べる。 さらに、SysCombでは、開発者は2つの異なる実行戦略を選択できる: seccomp-like、状態遷移が実行された後に新しい特権が取得されないことを保証する。 我々は、広く使われているソフトウェアを用いてSysCombを評価し、正確な状態認識システムコールフィルタリングと、組み込みカーネルソリューションに匹敵するオーバーヘッドを示し、我々のアプローチの実用性を実証した。

関連論文リスト

• A Self-Triggered Agentic Push Recommendation System [77.13502692161426]
  プッシュ通知は、大規模プラットフォームにおける重要なレコメンデーションシナリオである。 本稿では,プロアクティブ・セルフトリガー・エンド・ツー・エンドのエージェント・プッシュ・レコメンデーションシステムを提案する。 STEPSはすでにDouyinに10億人以上のユーザーを抱えている。
  論文  参考訳（メタデータ） (2026-08-03T09:20:53Z)
• Aligning Flow Map Policies with Optimal Q-Guidance [50.514994916864275]
  フローマップポリシは、任意のサイズのジャンプを学習することで、高速なアクション生成のために設計されている。 FLOW MAP Q-GUIDANCE (FMQ) は, 批判誘導型信頼領域制約の下でオフラインフローマップポリシーを適用するのに最適な, 原則付きクローズドフォーム学習ターゲットである。 FMQは、オフラインからオフラインまでのRLにおける最先端のパフォーマンスを達成し、平均成功率に対して21.3%の相対的な改善により、以前のワンステップポリシーMVPを上回っている。
  論文  参考訳（メタデータ） (2026-05-12T17:12:29Z)
• OAMAC: Origin-Aware Mandatory Access Control for Practical Post-Compromise Attack Surface Reduction [0.0]
  実行の起源は、現代のオペレーティングシステムのセキュリティモデルに欠けている抽象化である。 オリジン対応強制アクセス制御(OAMAC)を導入する。 OAMACは、実行元をファーストクラスのセキュリティ属性として扱う。
  論文  参考訳（メタデータ） (2026-01-20T14:40:26Z)
• eBPF-PATROL: Protective Agent for Threat Recognition and Overreach Limitation using eBPF in Containerized and Virtualized Environments [0.23332469289621782]
  eBPF-PATROLは、コンテナ化された環境でポリシーを監視し、強制する軽量ランタイムセキュリティエージェントである。 eBPF-PATROLは、リバースシェル、特権エスカレーション、コンテナエスケープのようなリアルタイム境界違反を検出し、防止する。
  論文  参考訳（メタデータ） (2025-11-22T18:51:36Z)
• Making 'syscall' a Privilege not a Right [4.674007120771649]
  nexpoline は Memory Protection Keys (MPK) と Seccomp or Syscall User Dispatch (SUD) を組み合わせたセキュアなsyscallインターセプション機構である。 nexpolineはバイナリ書き換えを安全にインターセプトできるので、ptraceのようなセキュアなインターセプション技術よりも効率がよい。 特に、カーネルの変更なしに動作し、ルート権限を必要とせず、現在のLinuxシステムで実行可能である。
  論文  参考訳（メタデータ） (2024-06-11T16:33:56Z)
• SYSPART: Automated Temporal System Call Filtering for Binaries [4.445982681030902]
  最近のアプローチでは、不要な呼び出しをブロックするためにプログラムが必要とするシステムコールを自動的に識別する。 SYSPARTはバイナリのみのサーバプログラム用に設計された自動システムコールフィルタリングシステムである。
  論文  参考訳（メタデータ） (2023-09-10T23:57:07Z)
• Sparsity-Aware Intelligent Massive Random Access Control in Open RAN: A Reinforcement Learning Based Approach [61.74489383629319]
  新たなOpen Radio Access Network(O-RAN)におけるデバイスの大量ランダムアクセスは、アクセス制御と管理に大きな課題をもたらします。 閉ループアクセス制御の強化学習(RL)支援方式を提案する。 深部RL支援SAUDは、連続的かつ高次元の状態と行動空間を持つ複雑な環境を解決するために提案されている。
  論文  参考訳（メタデータ） (2023-03-05T12:25:49Z)
• Distributed-Training-and-Execution Multi-Agent Reinforcement Learning for Power Control in HetNet [48.96004919910818]
  We propose a multi-agent Deep reinforcement learning (MADRL) based power control scheme for the HetNet。 エージェント間の協調を促進するために,MADRLシステムのためのペナルティベースQラーニング(PQL)アルゴリズムを開発した。 このように、エージェントのポリシーは、他のエージェントによってより容易に学習でき、より効率的なコラボレーションプロセスをもたらす。
  論文  参考訳（メタデータ） (2022-12-15T17:01:56Z)
• SCOPE: Safe Exploration for Dynamic Computer Systems Optimization [18.498208917123414]
  本稿では,実行空間からハードウェアリソースを動的に割り当てるリソースマネージャSCOPEを提案する。 電力制約違反を最小限に抑えながら、SCOPEのレイテンシ向上能力を評価する。
  論文  参考訳（メタデータ） (2022-04-22T00:58:52Z)
• Real-Time GPU-Accelerated Machine Learning Based Multiuser Detection for 5G and Beyond [70.81551587109833]
  非線形ビームフォーミングフィルタは、大規模な接続を伴う定常シナリオにおいて、線形アプローチを著しく上回る。 主な課題の1つは、これらのアルゴリズムのリアルタイム実装である。 本稿では,大規模並列化によるAPSMに基づくアルゴリズムの高速化について検討する。
  論文  参考訳（メタデータ） (2022-01-13T15:20:45Z)
• Adaptive Low-Pass Filtering using Sliding Window Gaussian Processes [71.23286211775084]
  ガウス過程回帰に基づく適応型低域通過フィルタを提案する。 本研究では,提案手法の誤差が一様境界であることを示す。
  論文  参考訳（メタデータ） (2021-11-05T17:06:59Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。