基于行為分析的擺渡木馬檢測技術研究.pdf

1、“擺渡木馬”是一種專門針對與互聯(lián)網(wǎng)隔離的內(nèi)部網(wǎng)絡或涉密網(wǎng)絡的一種特種木馬，具有極強的針對性。其攻擊目標往往是涉及國家核心競爭力的國防領域、軍工企業(yè)、科研機構、政府機關、經(jīng)濟金融等重要部門和涉密單位的內(nèi)部網(wǎng)絡或涉密系統(tǒng)。擺渡攻擊一旦成功，木馬攻擊者將會非法竊取大量涉及國家核心利益的信息數(shù)據(jù)和文件資料，嚴重威脅著國家安全。相比較傳統(tǒng)木馬的竊取賬號信息功能，擺渡攻擊的危害性更為嚴重。
　　研究擺渡木馬的檢測技術有助于保護國家秘密安全、商

2、業(yè)秘密安全、經(jīng)濟金融安全，有著十分顯著的應用價值及現(xiàn)實意義。同時，行為分析技術是目前網(wǎng)絡安全特別是入侵檢測領域的研究熱點之一，相比較傳統(tǒng)的特征碼等檢測技術有著明顯的技術優(yōu)勢。
　　首先，本文在對擺渡攻擊原理以及特征碼檢測、完整性檢測等木馬檢測技術進行介紹的基礎上，重點研究了擺渡木馬關鍵API調(diào)用及關鍵調(diào)用參數(shù)，建立擺渡木馬關鍵API調(diào)用集，并將其應用于擺渡木馬加權行為特征抽象表示中。
　　其次，提出了擺渡木馬行為特征的抽象表

3、示的方法，實現(xiàn)對擺渡木馬行為特征的分析。利用API調(diào)用對程序行為特征進行刻畫，以API調(diào)用短序列為程序行為抽象表示單元，綜合調(diào)用時序、關鍵調(diào)用參數(shù)等屬性，并對抽象表示單元進行加權計算。
　　最后，設計并初步實現(xiàn)了由監(jiān)控模塊、行為分析模塊、檢測模塊三個核心功能模塊組成的基于行為分析的擺渡木馬檢測系統(tǒng)。通過樣本集訓練和測試實驗結果可知，本文提出的方法可有效對擺渡木馬的行為特征進行抽象表示，并且有較高的檢測率和較低的誤報率，較好地實現(xiàn)了