基于行為監(jiān)控的病毒程序自動化鑒定平臺設(shè)計與實現(xiàn).pdf

1、目前殺毒軟件針對病毒程序的鑒定方法上，基于文件特征碼的查殺方法依然占據(jù)主要地位，但隨著計算機技術(shù)的發(fā)展和灰色產(chǎn)業(yè)鏈的成熟和壯大，病毒程序和數(shù)量呈現(xiàn)出大幅增加的態(tài)勢，病毒程序的設(shè)計和技術(shù)水平也逐漸復(fù)雜化和專業(yè)化?；谖募卣鞔a的病毒查殺技術(shù)，其前提是首先提取到病毒文件，具有一定的滯后性。且針對大批量的未知樣本進行特征碼分析和提取，需要投入大量的人力和物力。往往是不現(xiàn)實的。所以今年來，許多病毒程序研究人員提出了自動化鑒定的理論。
　　

2、在經(jīng)過一段時間的探索之后，主流的病毒程序自動化鑒定技術(shù)有主要有兩種，一是基于沙盒的病毒樣本自動化分析技術(shù):通過模擬計算機指定，搭建虛擬的文件系統(tǒng)和內(nèi)存系統(tǒng)，針對主要行為做重定向。并通過病毒程序的指令流和數(shù)據(jù)流進行樣本鑒定。二是，基于蜜罐理論的病毒樣本自動化鑒定技術(shù)：通過在真實的操作系統(tǒng)上安裝監(jiān)控程序，誘導(dǎo)病毒樣本執(zhí)行惡意操縱，達到鑒定目的。
　　由于基于沙盒理論的樣本鑒定技術(shù)實現(xiàn)成本較高，且由于指令模擬的局限性和運行環(huán)境的仿真效果

3、差等原因主要使用于反病毒引擎內(nèi)部作為本地鑒定的輔助。固在后臺自動化鑒定中主要使用基于蜜罐理論的病毒樣本鑒定化技術(shù)。本文對傳統(tǒng)的蜜罐技術(shù)進行了改良，通過虛擬化技術(shù)，在硬件環(huán)境中同時創(chuàng)建多個蜜罐仿真環(huán)境，大大提高了資源的利用效率。在此基礎(chǔ)上通過行為監(jiān)控和基于鑒定規(guī)則和動態(tài)權(quán)值的鑒定方法達到樣本鑒定的效果。主要完成了以下工作：
　　首先，本文通過對大量樣本的研究和對相關(guān)參考文獻的學(xué)習(xí)，對病毒程序的主要操作行為進行了總結(jié)和提取。