Diese Arbeit ist das Ergebnis einer Recherche in den technischen Themengebieten hardwaregestützten Systemvirtualisierung, Virtual-Machine-Introspection (VMI) und VM-Erkennungsmechanismen sowie deren Abwehr. Dabei liegt der Fokus auf dem Einsatz dieser Technologien in der Malwareanalyse oder der Angriffserkennung im Kontext einer EDR-Sensorik. Es werden die grundlegenden Konzepte und Begriffe Systemvirtualisierung eingeführt, erklärt und zu verwandten Gebieten abgegrenzt. Der Weg über die Erweiterung bestehender Schutz-Konzepte moderner CPUs und Betriebssysteme wird beschrieben hin zu Befehlssatzerweiterungen, welche die Hypervisor-Software bei der Bildung der Abstraktionsebenen unterstützen. Dabei wird die Verwendung der Virtualisierungserweiterungen VT-x und AMD-V für die IA32/AMD64-ISA erklärt einschließlich verschiedener Methoden zur Virtualisierung des Paging-Systems. Ein besonderer Fokus liegt dabei auf dem „Second Level Address Translation“-Konzept (SLAT). Neben der Betrachtung der PC-Prozessoren wird auch die Virtualisierungsfunktionalitäten der ARMv8-Architektur erläutert und deren Verwendung beispielhaft beschrieben. Im Kontext der Malwareanalyse und Angriffserkennung ist es besonders relevant, dass Virtualisierungs- und Analyseumgebungen nicht erkannt werden können. Es werden verschiedene Erkennungsansätze und Verfahren diese abzuwehren beschrieben. Um Malware unbemerkt analysieren zu können bietet sich die Analyse über den Hypervisor mittels Virtual-Machine-Introspection (VMI) an. Diese wird erklärt, deren Schwierigkeiten bezüglich des Semantic-Gaps benannt und Möglichkeiten aufgezeigt, diesen Problemen zu begegnen. Zudem werden einige wichtige VMI-Bibliotheken und Verfahren beschrieben. Abschließend werden noch zwei recht unterschiedliche Beispiellösungen kurz betrachtet. Diese sind Drakvuf als Beispiel für eine Malwareanalyse-Sandbox auf Basis von VMI und SimpleVisor, ein minimaler Modell-Hypervisor, der das Hyperjacking-Prinzip verwendet.

Diese Arbeit bietet einen Überblick über das Thema der ereignisbasierten Systemüberwachung von Windows-PCs. Die frühe Erkennung von Angriffen und der Ausführung von Schadsoftware auf Windows-Clients bedingt Sensor-Technologien, die Systemereignisse erkennen und protokollieren. Anhand bestimmter Ereignisse oder komplexerer Ereignismuster können illegitime Vorgänge auf Computersystemen erkannt werden. Der Fokus dieser Arbeit liegt darauf einen detaillierten Überblick über diese ereignisbasierte Sensorik für Windows-Endpunkte zu geben, die Systemereignisse erkennt und Ereignis-Objekte mit beschreibenden Attributen liefert. Im Gegensatz dazu wird die Interpretation der bereitgestellten Ereignisdaten und der Musterabgleich in dieser Arbeit nicht behandelt. Zu Beginn werden dafür die elementaren Aspekte und Begriffe einer solchen Sensor-Technologie allgemein erklärt. Dabei werden einige charakterisierende Grundeigenschaften erläutert, anhand derer solche Senor-Verfahren eingeordnet werden können. Zudem wird auf Basis durchgeführter Messungen eine Abschätzung bezüglich der Auftrittsfrequenzen verschiedener Systemereignisse geliefert. Im Hauptteil werden die zwei ereignisbasierten Monitoring-Systeme Event-Tracing-for-Windows (ETW) und Sysmon vorgestellt. Die Funktionalität, Architektur und interne Funktionsweise der beiden Systeme wird detailliert erläutert. Zudem werden ihre charakterisierenden Basiseigenschaften herausgearbeitet, um Stärken und Schwächen zu erkennen. Der ETW-basierte Sensor und SIGMA-Regelscanner Nextron Aurora, der Sysmon-ähnliche Ereignisdaten bereitstellt, wird ebenfalls behandelt.

This paper presents a pragmatic approach for stepwise introduction of peer assessment elements in undergraduate programming classes, discusses some lessons learned so far and directions for further work. Students are invited to challenge their peers with their own programming exercises to be submitted through Moodle and evaluated by other students according to a predefined rubric and supervised by teaching assistants. Preliminary results show an increased activation and motivation of students leading to a better performance in the final programming exams.

In this paper, we present a method for detecting objects of interest, including cars, humans, and fire, in aerial images captured by unmanned aerial vehicles (UAVs) usually during vegetation fires. To achieve this, we use artificial neural networks and create a dataset for supervised learning. We accomplish the assisted labeling of the dataset through the implementation of an object detection pipeline that combines classic image processing techniques with pretrained neural networks. In addition, we develop a data augmentation pipeline to augment the dataset with utomatically labeled images. Finally, we evaluate the performance of different neural networks.

The dataset is used for 3D environment modeling, i.e. for the generation of dense 3D point clouds and 3D models with PatchMatch algorithm and neural networks. Difficult for the modeling algorithm are the reflections of rain, water and snow, as well as windows and vehicle surface. In addition, lighting conditions are constantly changing.