高性能沙箱結(jié)構(gòu)及其檢測(cè)算法的研究.pdf

1、當(dāng)今的Internet網(wǎng)絡(luò)存在很多安全漏洞，其最根本的原因是日常使用的大部分應(yīng)用程序都是不可靠的。這些程序從未經(jīng)過(guò)認(rèn)證，可能包含病毒、木馬及其他潛在安全威脅。目前常用的防火墻、入侵檢測(cè)等安全策略均不足以防范此類(lèi)安全隱患。本文介紹的高性能沙箱系統(tǒng)(HPS)采用了一種限制型的安全策略，通過(guò)將不可靠應(yīng)用程序運(yùn)行在沙箱系統(tǒng)中，監(jiān)視并控制其對(duì)于系統(tǒng)資源的訪問(wèn)，從而減輕或阻止不可靠應(yīng)用程序?qū)τ谙到y(tǒng)的危害。 與其他經(jīng)典的沙箱系統(tǒng)(如Janus

2、和Java沙箱系統(tǒng))相比，本文提出的HPS沙箱系統(tǒng)的主要設(shè)計(jì)目標(biāo)是在不影響檢測(cè)率的前提下，盡可能的提高系統(tǒng)運(yùn)行速度，進(jìn)而提高沙箱系統(tǒng)的可用性。因此，本文在設(shè)計(jì)數(shù)據(jù)收集器、規(guī)則集和檢測(cè)器的時(shí)候采取了以下3個(gè)方法對(duì)經(jīng)典沙箱系統(tǒng)進(jìn)行了優(yōu)化： 首先，HPS系統(tǒng)中的數(shù)據(jù)收集器通過(guò)減少與檢測(cè)器之間傳遞的數(shù)據(jù)量來(lái)提高系統(tǒng)性能。數(shù)據(jù)收集器僅截取最小的必須的特征集合，減少了每一條被截獲的系統(tǒng)調(diào)用包含的數(shù)據(jù)量。同時(shí)，數(shù)據(jù)收集器中添加的過(guò)濾器采用聚類(lèi)

3、過(guò)濾算法(Single-Linkage和K-Means)能夠在不影響準(zhǔn)確性的前提下去除近50％的無(wú)關(guān)系統(tǒng)調(diào)用。 其次，HPS系統(tǒng)采用了兩種類(lèi)型的規(guī)則集：專(zhuān)家規(guī)則集(如Snare規(guī)則集、Janus規(guī)則集和CERT規(guī)則集)和通過(guò)數(shù)據(jù)挖掘算法RIPPER得到的規(guī)則集。這兩類(lèi)分別具有通用性和特殊性的規(guī)則集相互補(bǔ)充，提高了檢測(cè)的準(zhǔn)確性。 最后，HPS系統(tǒng)中的檢測(cè)器采用了機(jī)器學(xué)習(xí)中的決策樹(shù)技術(shù)來(lái)提高匹配速度。決策樹(shù)規(guī)則集結(jié)構(gòu)和匹配算