基于專家系統(tǒng)的惡意代碼檢測.pdf

1、惡意代碼檢測是軟件安全的一個重要方面，傳統(tǒng)的惡意代碼檢測主要是基于特征碼掃描的檢測技術(shù)。它使用從特定惡意代碼中提取出的特征字節(jié)序列進(jìn)行檢測，這些特征字節(jié)序列不大可能出現(xiàn)在無毒的程序中。這種方法的特點(diǎn)在于，反病毒軟件只處理程序的字節(jié)碼，而不關(guān)心它的行為。但是隨著惡意代碼種類和數(shù)量的迅速增長，提取惡意代碼的特征所消耗的人力、物力也急劇增長。更重要的是該技術(shù)的本質(zhì)決定，其只能檢測已知惡意代碼，對未知惡意代碼以及一些采用多態(tài)、變形、加殼等規(guī)避技

2、術(shù)的惡意代碼的檢測能力極弱。因此計算機(jī)安全研究人員引入了一些啟發(fā)式檢測技術(shù)來克服這些缺點(diǎn)。 本文結(jié)合惡意代碼的行為分析特征提出了一種基于專家系統(tǒng)的新的啟發(fā)式檢測方法。該方法是根據(jù)惡意代碼的異常行為特征的專家知識，構(gòu)建該系統(tǒng)的專家知識庫，然后通過行為捕獲攔截系統(tǒng)中發(fā)生的異常行為及惡意代碼遺留的痕跡等，進(jìn)行推理檢測的。 為了證明該方法的有效性，本文的主要工作包括：第一、提出了一種基于專家系統(tǒng)的惡意代碼檢測系統(tǒng)框架；第二、采用

3、惡意代碼的動態(tài)分析方法以及經(jīng)驗知識分析總結(jié)出內(nèi)存駐留型病毒、木馬、Rootkit等惡意代碼的典型的行為特征：第三、通過上述的惡意代碼的行為特征以及專家系統(tǒng)工具CLIPS中的知識表示方法，分析總結(jié)出各類行為的表示方法，譬如創(chuàng)建文件操作、修改內(nèi)存操作、鉤掛操作等等；第四、通過上述惡意代碼的行為特征以及產(chǎn)生式規(guī)則的表示方法，構(gòu)建出內(nèi)存駐留型病毒、木馬、Rootkit等惡意代碼的推理規(guī)則等。 本文的主要創(chuàng)新之處是：將專家系統(tǒng)應(yīng)用到了主機(jī)