木馬的行為分析及新型反木馬策略的研究.pdf

1、近年來，“特洛伊木馬”(以下簡稱木馬)數(shù)量迅速增加，在各類非法程序中已經(jīng)占到了最大的比重，由木馬所造成的破壞和損失也越來越嚴(yán)重，因此，反木馬的研究已成為網(wǎng)絡(luò)安全領(lǐng)域的一個(gè)熱點(diǎn)和重點(diǎn)。 行為分析由于具有檢測特征碼未知的木馬、病毒等非法程序的能力，而成為反木馬、反病毒等研究領(lǐng)域的一個(gè)熱點(diǎn)。與傳統(tǒng)基于特征碼的靜態(tài)掃描技術(shù)不同的是，它根據(jù)應(yīng)用程序運(yùn)行時(shí)表現(xiàn)出來的動(dòng)態(tài)行為特征，判別程序是否合法。但由于其在具體實(shí)施時(shí)一般有較高的誤報(bào)率，所以

2、至今仍未象特征碼技術(shù)那樣得到廣泛的應(yīng)用。 確定木馬的行為特征是進(jìn)行木馬行為分析之前必需的準(zhǔn)備工作。本文分析歸納了木馬服務(wù)器在安裝、啟動(dòng)和網(wǎng)絡(luò)通信階段的行為特征，并介紹木馬行為分析的原理、優(yōu)缺點(diǎn)并探討其實(shí)現(xiàn)技術(shù)。 分類算法(如樸素貝葉斯分類算法)結(jié)合樣本的多個(gè)屬性的取值對(duì)樣本進(jìn)行分類，并且它們均被用作對(duì)未知類別的樣本的分類，這與將行為分析應(yīng)用于未知木馬判斷的目的相吻合。本文描述了目前安全軟件中木馬行為分析模塊的一般工作流程

3、，針對(duì)其誤報(bào)和漏報(bào)的原因，提出樸素貝葉斯分類算法在木馬行為分析中的應(yīng)用。為檢驗(yàn)該算法在降低木馬誤報(bào)率上的效果，本文對(duì)同一組木馬和合法程序進(jìn)行了兩次分類實(shí)驗(yàn)，一次使用某安全軟件的木馬行為分析模塊，另一次則是本文提出的結(jié)合了樸素貝葉斯算法的木馬行為分析方法，并對(duì)兩者的誤報(bào)率和漏報(bào)率作了比較。 在實(shí)驗(yàn)中，共收集了228個(gè)合法程序，并查閱和研究了224個(gè)木馬的技術(shù)細(xì)節(jié)，本文提出的方法漏報(bào)率約為10.71％，誤報(bào)率約為0.44％，比另一種