計算機病毒行為檢測方法研究.pdf

1、隨著計算機應(yīng)用的逐漸普及，各種商業(yè)利益驅(qū)動下計算機病毒編寫和傳播已經(jīng)漸漸形成一條完整的產(chǎn)業(yè)鏈，病毒的數(shù)量以及破壞程度都遠遠超過以往。面對計算機病毒所造成的安全威脅，研發(fā)病毒防御技術(shù)就成了人們的當務(wù)之急。而病毒檢測作為病毒防御的第一步，在應(yīng)對計算機病毒的威脅上起著至關(guān)重要的作用。傳統(tǒng)的病毒檢測技術(shù)多采用特征碼檢測技術(shù)，由于特征碼檢測存在的不足，近年來計算機病毒行為檢測技術(shù)獲得了長足的發(fā)展。行為檢測的依據(jù)在于：比之普通的軟件程序，病毒具有一

2、些特定的行為，一個病毒的運作，必然會伴隨這些特定行為，這就使得病毒的行為與正常程序的行為存在區(qū)別。
　　 本課題采取API作為病毒行為特征，運用支持向量機的方法構(gòu)建出病毒的特征行為空間，采用信息熵來放大病毒行為與正常程序的區(qū)別，通過學習分類尋找并建立空間中將病毒行為與正常軟件行為切分的超平面，再對不同類型病毒的特征行為進行區(qū)分，進而利用“一對一”的多類支持向量機分類方法對不同病毒進行分類。
　　 然而這種方法僅截取程序A

3、PI調(diào)用序列作為行為特征，并未區(qū)分不同API在病毒檢測中所起到的不同作用。因此本課題進一步引入動態(tài)鏈接庫將病毒行為分解為大量功能模塊，不同模塊中API重要程度不同，并將DLL與API共同看作程序調(diào)用的資源。根據(jù)DLL之間調(diào)用以及DLL調(diào)用API的關(guān)系將程序調(diào)用資源繪制成樹狀結(jié)構(gòu)，稱為程序行為資源樹，再截取樹中重要結(jié)構(gòu)塊作為程序行為特征，并建立了一種針對行為資源樹的病毒檢測模型。
　　 最后，本課題收集了大量程序其中包括許多病毒程