惡意代碼態(tài)勢感知系統(tǒng)的設(shè)計與實現(xiàn).pdf

1、隨著互聯(lián)網(wǎng)在我國的普及程度越來越高,其在國家的政治、經(jīng)濟(jì)、軍事、文化等領(lǐng)域發(fā)揮的作用也越來越重要,但與此同時,與互聯(lián)網(wǎng)相關(guān)的安全問題也越來越嚴(yán)重,網(wǎng)絡(luò)與信息安全已經(jīng)成為了互聯(lián)網(wǎng)不可避免的問題。
　　 2008年微軟的IE7.0瀏覽器出現(xiàn)的的一次重大安全漏洞引起了安全界的廣泛關(guān)注。而在2008年北京奧運會開幕的前夕,我國的互聯(lián)網(wǎng)網(wǎng)絡(luò)安全狀況曾一度急劇惡化。據(jù)統(tǒng)計,2008年在中國大陸地區(qū),共發(fā)現(xiàn)了438386個木馬控制端,比200

2、7年增長了近64.7％。另外,垃圾郵件,蠕蟲病毒和分布式拒絕服務(wù)造成的危害也越來越嚴(yán)重。各種網(wǎng)絡(luò)入侵行為帶來的嚴(yán)峻的安全問題對安全產(chǎn)品也提出了更高的要求。網(wǎng)絡(luò)安全態(tài)勢感知就是近幾年新興起來的一種針對大規(guī)模網(wǎng)絡(luò)的安全防御技術(shù)。目前對網(wǎng)絡(luò)安全態(tài)勢感知尚未有一個標(biāo)準(zhǔn)的定義,一般認(rèn)為安全態(tài)勢感知就是將底層各安全產(chǎn)品如入侵檢測系統(tǒng)(IDS),防火墻等提供的能夠反映網(wǎng)絡(luò)安全狀態(tài)的信息通過數(shù)據(jù)融合、歸并和關(guān)聯(lián)后形成更高層次的信息以反映網(wǎng)絡(luò)當(dāng)前的安全狀

3、態(tài)以及未來可能的安全走勢,并通過可視化技術(shù)將這些信息提供給網(wǎng)絡(luò)管理人員。網(wǎng)絡(luò)安全態(tài)勢感知技術(shù)能從更宏觀的層次反映網(wǎng)絡(luò)的狀態(tài),幫助網(wǎng)絡(luò)管理人員及時發(fā)現(xiàn)各種網(wǎng)絡(luò)入侵行為并做出應(yīng)急響應(yīng)措施。目前已經(jīng)有越來越多的研究人員投入到網(wǎng)絡(luò)安全態(tài)勢感知的研究中,從某種程度上可以說網(wǎng)絡(luò)安全態(tài)勢感知技術(shù)代表了安全技術(shù)發(fā)展的一個新方向。
　　 由于近幾年來,木馬和后門攻擊造成的危害有逐年升高的趨勢,而目前尚未出現(xiàn)專門評估某一類特定攻擊對網(wǎng)絡(luò)安全態(tài)勢影響

4、的態(tài)勢感知系統(tǒng),因此本文在現(xiàn)有網(wǎng)絡(luò)安全態(tài)勢研究的基礎(chǔ)上,設(shè)計了一個完整的惡意代碼入侵檢測系統(tǒng),該系統(tǒng)著重于評估木馬和后門攻擊對網(wǎng)絡(luò)及主機(jī)安全態(tài)勢的影響。由于現(xiàn)有的入侵檢測系統(tǒng)產(chǎn)生的告警信息量過于龐大,往往將真實的攻擊信息淹沒于其中而很難察覺和處理,為了準(zhǔn)確的感知到木馬的入侵,需要態(tài)勢感知系統(tǒng)的傳感器提供準(zhǔn)確的檢測信息,為此,我們在惡意代碼態(tài)勢感知系統(tǒng)的數(shù)據(jù)采集層設(shè)計了一個基于主機(jī)的木馬傳感器,該傳感器部署在網(wǎng)絡(luò)中各主機(jī)上,以木馬入侵主機(jī)

5、后產(chǎn)生的異常行為為基礎(chǔ)檢測木馬,向惡意代碼態(tài)勢感知系統(tǒng)提供關(guān)于木馬入侵的原始的告警信息,本文將重點介紹惡意代碼態(tài)勢感知系統(tǒng)中基于主機(jī)的木馬傳感器的設(shè)計和實現(xiàn)。
　　 本文的主要工作有如下幾個方面:
　　 (1)介紹了網(wǎng)絡(luò)安全態(tài)勢感知相關(guān)的基本概念,分析了當(dāng)前安全態(tài)勢感知領(lǐng)域的研究現(xiàn)狀。
　　 (2)介紹了本文設(shè)計的惡意代碼態(tài)勢感知系統(tǒng)中所采用的態(tài)勢評估、威脅評估和念勢預(yù)測方法。
　　 (3)介紹了目前在網(wǎng)

6、絡(luò)安全態(tài)勢感知中廣泛使用的傳感器技術(shù)即入侵檢測系統(tǒng)和防火墻技術(shù),并指出這些技術(shù)存在的缺陷。
　　 (4)設(shè)計了一個完整的惡意代碼態(tài)勢評估系統(tǒng),由于現(xiàn)有的各種網(wǎng)絡(luò)安全態(tài)勢評估系統(tǒng)并沒有專門針對木馬入侵行為的感知,本文設(shè)計并實現(xiàn)了一個基于主機(jī)的木馬傳感器,該傳感器以木馬入侵主機(jī)后產(chǎn)生的異常行為為基礎(chǔ)檢測木馬,傳感器提供的檢測信息用于惡意代碼態(tài)勢感知系統(tǒng)進(jìn)行安全態(tài)勢評估和威脅評估時使用。
　　 本文提出的基于主機(jī)的木馬傳感器位