高性能沙箱結(jié)構(gòu)及其檢測算法的研究.pdf

1、當(dāng)今的Internet網(wǎng)絡(luò)存在很多安全漏洞，其最根本的原因是日常使用的大部分應(yīng)用程序都是不可靠的。這些程序從未經(jīng)過認(rèn)證，可能包含病毒、木馬及其他潛在安全威脅。目前常用的防火墻、入侵檢測等安全策略均不足以防范此類安全隱患。本文介紹的高性能沙箱系統(tǒng)(HPS)采用了一種限制型的安全策略，通過將不可靠應(yīng)用程序運行在沙箱系統(tǒng)中，監(jiān)視并控制其對于系統(tǒng)資源的訪問，從而減輕或阻止不可靠應(yīng)用程序?qū)τ谙到y(tǒng)的危害。 與其他經(jīng)典的沙箱系統(tǒng)(如Janus

2、和Java沙箱系統(tǒng))相比，本文提出的HPS沙箱系統(tǒng)的主要設(shè)計目標(biāo)是在不影響檢測率的前提下，盡可能的提高系統(tǒng)運行速度，進而提高沙箱系統(tǒng)的可用性。因此，本文在設(shè)計數(shù)據(jù)收集器、規(guī)則集和檢測器的時候采取了以下3個方法對經(jīng)典沙箱系統(tǒng)進行了優(yōu)化： 首先，HPS系統(tǒng)中的數(shù)據(jù)收集器通過減少與檢測器之間傳遞的數(shù)據(jù)量來提高系統(tǒng)性能。數(shù)據(jù)收集器僅截取最小的必須的特征集合，減少了每一條被截獲的系統(tǒng)調(diào)用包含的數(shù)據(jù)量。同時，數(shù)據(jù)收集器中添加的過濾器采用聚類

3、過濾算法(Single-Linkage和K-Means)能夠在不影響準(zhǔn)確性的前提下去除近50％的無關(guān)系統(tǒng)調(diào)用。 其次，HPS系統(tǒng)采用了兩種類型的規(guī)則集：專家規(guī)則集(如Snare規(guī)則集、Janus規(guī)則集和CERT規(guī)則集)和通過數(shù)據(jù)挖掘算法RIPPER得到的規(guī)則集。這兩類分別具有通用性和特殊性的規(guī)則集相互補充，提高了檢測的準(zhǔn)確性。 最后，HPS系統(tǒng)中的檢測器采用了機器學(xué)習(xí)中的決策樹技術(shù)來提高匹配速度。決策樹規(guī)則集結(jié)構(gòu)和匹配算