基于廣譜通信行為分析的木馬檢測技術研究.pdf

1、隨著 Internet 的快速發(fā)展，網絡安全也隨之成為一個重要問題。木馬做為一種主要的信息竊取和破壞手段，對網絡信息安全構成了重大的威脅。因此，木馬的檢測問題已成為互聯(lián)網安全研究的一個主要課題。 木馬的檢測技術主要分為靜態(tài)特征信息檢測和動態(tài)行為檢測。靜態(tài)特征信息檢測是應用最早，也是最成熟的木馬檢測手段，具有準確率高的特點。但隨著木馬數(shù)量的大量增加，靜態(tài)檢測出現(xiàn)了兩個問題：一是檢測效率下降；二是不能檢測未知木馬。因此，做為對靜態(tài)特

2、征信息檢測的補充，動態(tài)行為檢測因其具備檢測未知木馬的能力而備受重視。 動態(tài)行為檢測是根據(jù)木馬不同于合法程序的行為特點來進行檢測。在眾多行為中，網絡通信是木馬不能回避的關鍵行為。通信行為包括通信流量在時間上的分布特點以及通信所采用的技術。通信行為檢測的關鍵是將木馬通信行為與正常通信行為區(qū)別開來。 通過總結現(xiàn)有木馬通信技術，本文提出了一種基于廣譜通信行為分析的木馬檢測機制。該機制針對木馬網絡通信技術日益底層化的趨勢，提出在網

3、絡驅動接口規(guī)范 (NDIS) 層上攔截主機向外發(fā)送的數(shù)據(jù)包。然后經過網絡協(xié)議 (TCP/IP)解碼，對這些數(shù)據(jù)包進行分析，得到發(fā)送端口信息。通過端口與進程關聯(lián)，來判斷這個數(shù)據(jù)包是否是木馬發(fā)出的。同時根據(jù)得到的進程信息來查殺木馬。該機制的特點是：由于在底層截獲數(shù)據(jù)包，所以該機制具備廣譜性，能對多種木馬通信方式進行檢測；由于端口信息是該機制的關鍵信息，所以能檢測新出現(xiàn)的采用無端口通信方式的木馬；由于通過進程信息來判別木馬，因此具備一定的檢測

4、進程隱藏木馬的能力。其中前兩點是以前的基于木馬通信行為的檢測方式所不具備的。 基于廣譜通信行為分析的木馬檢測機制，本文設計了木馬檢測模塊 CBDM(Communication Behavior Detection Module)，并實現(xiàn)了其中的關鍵子模塊。由于采用了模塊化設計，具備了較好的移植性，因此它可以做為單獨的木馬檢測軟件使用，也可以做為附加功能添加到入侵檢測系統(tǒng)和防火墻中。本文最后討論了該模塊的局限性，并提出了改進的方向