惡意代碼檢測(cè)與遏制技術(shù)研究.pdf

1、自從上世紀(jì)80年代Morris蠕蟲(chóng)出現(xiàn)以來(lái)，計(jì)算機(jī)安全已成為學(xué)術(shù)界和業(yè)界的熱門(mén)領(lǐng)域之一。無(wú)論作為攻擊還是防御，惡意代碼都是該領(lǐng)域發(fā)展迅速的一個(gè)分支。網(wǎng)絡(luò)的迅速發(fā)展與軟硬件的同構(gòu)化降低了攻擊難度，作為計(jì)算機(jī)攻擊的主要形式之一，惡意代碼給互聯(lián)網(wǎng)和用戶帶來(lái)了嚴(yán)重威脅，造成了巨大損失，使得安全愈來(lái)愈受人們重視，但也面臨前諸多挑戰(zhàn)。然而當(dāng)前惡意代碼的檢測(cè)手段相對(duì)單一、缺乏深度，難以檢測(cè)遏制層出不窮和經(jīng)過(guò)復(fù)雜變形的攻擊，高誤報(bào)率和漏報(bào)率嚴(yán)重制約了檢

2、測(cè)系統(tǒng)的廣泛使用，同時(shí)傳統(tǒng)防御體系難以應(yīng)對(duì)大規(guī)模爆發(fā)的攻擊。主機(jī)型惡意代碼以木馬為典型代表，以竊取用戶敏感信息為目的，為目前所占比例最高的惡意代碼；蠕蟲(chóng)是網(wǎng)絡(luò)型惡意代碼的代表，具有分布式特點(diǎn)、威脅大，易引起后續(xù)攻擊，因此它們都值得研究和關(guān)注。
　　本文綜述了惡意代碼相關(guān)原理、關(guān)鍵技術(shù)和檢測(cè)方法，以特洛伊木馬、病毒和蠕蟲(chóng)為研究背景，從檢測(cè)和遏制角度出發(fā)，取得了以下三個(gè)方面的成果：
　　1．針對(duì)木馬/rootkit，研究并實(shí)現(xiàn)了

3、基于虛擬環(huán)境的行為分析檢測(cè)系統(tǒng)。行為主要包括影響操作系統(tǒng)的安全行為，并利用數(shù)據(jù)挖掘算法對(duì)未知程序的合法性進(jìn)行判斷。虛擬的行為采集環(huán)境大大減小了惡意代碼給主機(jī)帶來(lái)的破壞，對(duì)用戶影響小。實(shí)驗(yàn)結(jié)果表明，該同類(lèi)系統(tǒng)相比，我們的系統(tǒng)能較準(zhǔn)確的檢測(cè)出未知木馬/rootkit。
　　2．病毒的編寫(xiě)技術(shù)已經(jīng)被蠕蟲(chóng)大量使用，經(jīng)過(guò)高強(qiáng)度變形的蠕蟲(chóng)攻擊越來(lái)越普遍。而作為目前對(duì)抗蠕蟲(chóng)的主要技術(shù)，人工方式為主的特征碼提取耗時(shí)長(zhǎng)、誤報(bào)率高。本文研究設(shè)計(jì)了一種

4、準(zhǔn)確高效的蠕蟲(chóng)特征碼提取技術(shù)，它能有效對(duì)抗變形攻擊，并首次將此技術(shù)應(yīng)用于病毒和木馬。它采用變形引擎產(chǎn)生副本，無(wú)需多個(gè)原始樣本，實(shí)驗(yàn)結(jié)果表明能在較短時(shí)間內(nèi)提取出高質(zhì)量的特征碼，誤報(bào)率、漏報(bào)率均較低，實(shí)驗(yàn)同時(shí)給出了它們的定量分析。
　　3．為了快速遏制惡意代碼的大規(guī)模爆發(fā)，提出一種新型分布式惡意代碼檢測(cè)響應(yīng)框架。該框架融合了基于行為分析的異常檢測(cè)和特征碼的誤用檢測(cè)機(jī)制，且具有良好擴(kuò)展性；因此它不僅能檢測(cè)已知惡意代碼，而且能檢測(cè)未知惡意