惡意代碼防范技術(shù)的研究與實(shí)現(xiàn).pdf

1、近年來(lái),惡意代碼的發(fā)展日益呈現(xiàn)出集傳統(tǒng)的計(jì)算機(jī)病毒、網(wǎng)絡(luò)蠕蟲、特洛伊木馬等威脅于一體的復(fù)合化趨勢(shì),成為信息系統(tǒng)安全的主要威脅之一。如何防御惡意代碼的攻擊已成為當(dāng)前信息安全領(lǐng)域的一個(gè)熱點(diǎn)研究課題。但是當(dāng)前的研究存在兩個(gè)極端:信息安全業(yè)界公司熱衷于惡意代碼掃描引擎的開(kāi)發(fā)和惡意代碼特征庫(kù)的擴(kuò)充維護(hù),學(xué)術(shù)界則偏重于惡意代碼防御的理論模型研究。缺乏對(duì)惡意代碼本質(zhì)根源和機(jī)理等基本問(wèn)題的探索。
　　 惡意代碼的防范問(wèn)題,不是單靠一種或者幾種技

2、術(shù)就能解決的。它是一個(gè)系統(tǒng)工程,要靠技術(shù)、管理以及用戶安全意識(shí)的共同防范。只有技術(shù)、管理、安全意識(shí)三者相結(jié)合才能最大程度地防止惡意代碼對(duì)系統(tǒng)和用戶信息的破壞。
　　 本文首先對(duì)國(guó)內(nèi)外惡意代碼防范技術(shù)的發(fā)展?fàn)顩r進(jìn)行了研究,分析了當(dāng)前國(guó)內(nèi)外惡意代碼自動(dòng)檢測(cè)的現(xiàn)狀,指出了它們存在的問(wèn)題,然后對(duì)惡意代碼防范相關(guān)的技術(shù)做了研究:Windows內(nèi)核機(jī)制、Windows文件系統(tǒng)過(guò)濾驅(qū)動(dòng)(minifilter)、Windows服務(wù)、Window

3、s設(shè)備驅(qū)動(dòng)程序的編寫、Windows PE文件原理、注冊(cè)表原理。
　　 在研究以上相關(guān)技術(shù)的基礎(chǔ)之上,設(shè)計(jì)并實(shí)現(xiàn)了一個(gè)基于Windows平臺(tái)的惡意碼防范系統(tǒng)(AV_System),該系統(tǒng)包含的功能模塊有:PE完整性檢測(cè)模塊,該模塊主要利用FSFD過(guò)濾IRP數(shù)據(jù)包IRP_MJ_CREATE,在PE文件的Create過(guò)程中檢測(cè)其完整性,完整性未通過(guò)的系統(tǒng)將阻止該文件的Create(打開(kāi)),并提醒用戶進(jìn)行隔離。通過(guò)檢測(cè)的PE文件系統(tǒng)將

4、放行,不作任何操作。IAT鉤子檢測(cè)模塊,編寫設(shè)備驅(qū)動(dòng)程序,通過(guò)PsSetCreateProcessNotifyRoutine注冊(cè)回調(diào)函數(shù),進(jìn)行IAT鉤子的檢測(cè)。Windows系統(tǒng)核心文件保護(hù)模塊,為了保護(hù)windows系統(tǒng)的重要文件不被惡意刪除、替換、覆蓋、重寫等操作,本模塊主要基于FSFD在內(nèi)核層攔截對(duì)％systemroot％目錄下的重要系統(tǒng)文件以及系統(tǒng)盤根目錄下的NTLDR、Ntdetect.com、GHLDR、bootfont.i

5、ni、boot.ini等文件的操作,禁止其進(jìn)行重命名、刪除操作?？紤]到有些應(yīng)用程序在安裝或者運(yùn)行的時(shí)候會(huì)對(duì)％systemroot％目錄下的文件有寫的操作,也包括惡意程序。在有不確定的寫入操作時(shí)將操作的詳細(xì)情況反饋給用戶,禁止或放行由用戶決定,從而達(dá)到提高操作系統(tǒng)的安全性。注冊(cè)表保護(hù)模塊,利用微軟提供的注冊(cè)表回調(diào)函數(shù)CmRegisterCallback注冊(cè)RegistryCallback例程實(shí)現(xiàn)對(duì)注冊(cè)表的監(jiān)控、修改、攔截等操作,在vist

6、a及以后的操作系統(tǒng)中使用CmRegisterCallbackEx。進(jìn)程保護(hù)模塊,為了防止惡意代碼防范系統(tǒng)進(jìn)程被惡意代碼終止,采用服務(wù)監(jiān)控的方法來(lái)保護(hù)進(jìn)程的安全,也就是將監(jiān)控進(jìn)程注冊(cè)為服務(wù)在后臺(tái)運(yùn)行,當(dāng)發(fā)現(xiàn)被監(jiān)控進(jìn)程被惡意代碼終止時(shí),便重新啟動(dòng)進(jìn)程繼續(xù)對(duì)系統(tǒng)實(shí)施安全防護(hù)。隔離區(qū)模塊,該模塊主要實(shí)現(xiàn)對(duì)已發(fā)現(xiàn)異常行為的進(jìn)程進(jìn)行隔離,防止其繼續(xù)感染。日志記錄模塊,該模塊主要對(duì)行為異常的進(jìn)程所執(zhí)行的操作進(jìn)行記錄,配合隔離區(qū)模塊便于日后審計(jì)追蹤。<

7、br>　　 最后對(duì)AV_System進(jìn)行了功能測(cè)試以測(cè)試其惡意代碼的防范能力,同時(shí)將AV_System與微點(diǎn)殺毒軟件、PC-Cillin放在一起進(jìn)行了對(duì)比測(cè)試,以此檢驗(yàn)AV_System的惡意代碼防范能力。
　　 該系統(tǒng)以主動(dòng)防御為主,從防御的角度出發(fā),將惡意代碼的破壞對(duì)象保護(hù)起來(lái),使得惡意代碼的破壞力大大下降。對(duì)于執(zhí)行惡意操作的程序或者代碼片段,進(jìn)行隔離同時(shí)進(jìn)行日志記錄,方便日后審計(jì)追蹤。這樣即使惡意代碼存在Windows系