恶意代码分类的一种高维特征融合分析方法

恶意代码分类是一种基于特征进行恶意代码自动家族类别划分的分析方法。恶意代码的多维度特征融合与深度处理,是恶意代码分类研究的一种发展趋势,也是恶意代码分类研究的一个难点问题。本文提出了一种适用于恶意代码分类的高维特征融合方法,对恶意代码的静态二进制文件和反汇编特征等进行提取,借鉴SimHash的局部敏感性思想,对多维特征进行融合分析和处理,最后基于典型的机器学习方法对融合后的特征向量进行学习训练。实验结果和分析表明,该方法能够适应于样本特征维度高而样本数量较少的恶意代码分类场景,而且能够提升分类学习的时间性能。     

基于扩展攻击树的文件安全度评估研究

在深入研究恶意代码行为特征基础上,本文通过分析传统恶意代码检测模型的缺陷,建立了基于扩展攻击树的文件安全度评估模型,综合节点自身属性值与节点间相互关系,提出了一种基于行为的动态恶意代码行为分析检测方法。该方法能够有效评估文件的安全度,对包含未知恶意代码的文件也具有一定的检测能力。     

安全产品 金融行业应用卓越奖

侯海龙网络联盟中国区产品经理混合威胁不断发展,单一的防护措施已经无能为力,企业需要对网络进行多层、深层的防护才能有效。真正的深层防护体系不仅能够发现恶意代码,而且还能够主动地阻止恶意代码的攻击。有效的深层防护体系不仅能够保护服务器,而且还能让桌面机安然无恙。为了满足用户和市场的需求,网络联盟推出了深层防护战略。McAfee深层防护战略包括系统保护解决方案和网络防护解决方案两部分,旨在为企业、小公司、个人用户和政府机构的桌面机、服务器以及W e b服务引擎提供深层安全保护。McAfeeIntruShield入侵防护解决方案采用…     

基于“In-VM”思想的内核恶意代码行为分析方法

随着互联网的高速发展,网络安全威胁也越来越严重,针对恶意代码的分析、检测逐渐成为网络安全研究的热点。恶意代码行为分析有助于提取恶意代码特征,是检测恶意代码的前提,但是当前自动化的行为捕获方法存在难以分析内核模块的缺陷,本文针对该缺陷,利用虚拟机的隔离特点,提出了一种基于"In-VM"思想的内核模块恶意行为分析方法,实验表明该方法能够分析内核模块的系统函数调用和内核数据操作行为。     

一种基于本地化特征的恶意代码检测系统设计

随着网络安全技术的发展,计算机病毒已经不能够准确描述安全事件,提出了用恶意代码来描述,由于恶意代码的多样性,目前的恶意代码检测技术不能满足需要。在对恶意代码特征研究的基础上,提出了基于本地化特征的恶意代码检测技术。恶意代码要获取执行的机会,必然要进行本地化设置,对恶意代码的本地化特点进行了研究,在此基础上设计出了一种基于本地化特征的恶意代码检测系统,并进行了测试,结果证明基于本地化特征的恶意代码检测方法是一种有效的方法。     

基于核心网的恶意脚本识别与防范系统

随着网页制作技术的不断发展,越来越多的脚本技术应用于网页之中,不仅减小了网页的规模,更提高了网页浏览的速度,丰富了网页的表现。但同时也给网络安全带来了严重的威胁,黑客们可以利用脚本技术使用户在浏览网页时,破坏用户的操作系统、撒布病毒、盗取用户信息等,网页恶意代码已经成为了影响网络信息安全的最大因素之一。然而目前对恶意代码的防护还大多停留在用户层面,即用户通过在本机安装防病毒软件进行防护,这种方式有着诸多的缺点;本文提出了一种在网络核心层防治恶意代码的解决方案,为恶意代码的防治提供了一种新的解决思路。     

一种面向环境识别的恶意代码完整性分析方法

完整性分析一直是恶意代码动态分析的难点。针对恶意代码动态分析方法存在行为获取不完整的问题,提出了一种面向环境识别的恶意代码完整性分析方法,通过分析恶意代码执行过程中的数据流信息识别恶意代码敏感分支点,构造能够触发隐藏行为的执行环境,提高了恶意代码行为分析的完整程度。通过对50个恶意代码样本的分析结果表明,该方法能有效缩减分析时间,获得更加全面的行为信息,有效提高分析效率和分析的完整性。     

基于加权信息增益的恶意代码检测方法

采用数据挖掘技术检测恶意代码,提出一种基于加权信息增益的特征选择方法。该方法综合考虑特征频率和信息增益的作用,能够更加准确地选取有效特征,从而提高检测性能。实现一个恶意代码检测系统,采用二进制代码的N-gram和变长N-gram作为特征提取方法,加权信息增益作为特征选择方法,使用多种分类器进行恶意代码检测。实验结果证明,该方法能有效提高恶意代码的检测率和准确率。     

工业互联网恶意代码功能模块自动切分技术研究

本文总结了国内外主流的恶意代码分析方法，分析了当前恶意代码检测面临的主要困难，并有针对性提出了一种适用于工业互联网的二进制恶意代码功能模块自动化切分方法，该方法基于隐马尔可夫模型的功能模块自动划分算法进行动态分析，实现了恶意代码的同源判定，突破了传统恶意代码费时费力且对代码分析粗粒度的难题。通过研制原型系统，实现了对多类型的跨平台恶意代码的自动化切分和对比验证。     

防病毒方案怎样设计？

病毒、恶意代码不断升级,企业的防病毒方案也要更新换代,完善的方案包括威胁、威胁的载体、目标、防护技术四个方面,并采用分层防护的方法。     

A Behavior-based Buffer Overflow Attack Blocker

A common way to gain control of victim hosts is to launch buffer overflow attacks by remote exploits.This paper proposes a behavior-based buffer overflow attacker blocker,which can dynamically detect and prevent remote buffer overflow attacks by filtering out the client requests that contain malicious executable codes.An important advantage of this approach is that it can block the attack before the exploit code begins affecting the target program.The blocker is composed of three major components,packet dec...     

恶意代码演化与溯源技术研究

恶意代码溯源是指通过分析恶意代码生成、传播的规律以及恶意代码之间衍生的关联性，基于目标恶意代码的特性实现对恶意代码源头的追踪.通过溯源可快速定位攻击来源或者攻击者，对攻击者产生一定的震慑打击作用，具有遏制黑客攻击、完善网络安全保障体系的重要作用和价值.近年来，网络安全形势愈加严峻，归类总结了学术界和产业界在恶意代码溯源领域的研究工作，首先揭示了恶意代码的编码特性以及演化特性，并分析这些特性与溯源的关系；然后，分别从学术界和产业界对恶意代码的溯源技术和研究进行梳理，同时对每个溯源阶段的作用以及影响程度进行了讨论，并对目前恶意代码的溯源对抗手段进行分析；最后讨论了恶意代码溯源技术面对的挑战和未来的发展趋势.     

计算机抗恶意代码免疫模型

很多针对计算机恶意代码的免疫模型和算法要求学习训练的代价比较大,另外这些算法本身也不同程度地存在问题,离实际应用有较大距离,该文提出一种新的计算机抗恶意代码免疫模型。该模型不需要计算和识别恶意代码的具体特征,通过直接消除恶意代码传播和实施破坏的前提条件,使得计算机系统对恶意代码具有自身免疫的能力。     

基于访问控制的动态着色技术在攻击检测中的研究

内存腐烂攻击在软件安全攻击中占据着较大的比重。近来,动态着色技术得到了越来越多的关注,这种技术通过在访问内存时检测指针的完整性来抵御攻击。然而,存在一类可以绕过指针完整性检查的策略来进行攻击的实例,比如数组的越界访问攻击。提出了一种基于动态着色跟踪分析的方法来解决这类已有着色技术不能检测的问题。其思想是,借助于内存访问控制的思路,首先像已有的动态着色技术那样,在内存访问时对指针进行完整性检查,然后检查指针将要访问的内存区域是否处于指针合理的访问范围之内。原型系统是基于Valgrind的,并不需要源码,因此可以用于很多商业软件。初步实验验证结果表明,该方法可以有效地检测出很多类型的攻击,系统的性能损耗接近于Memcheck这种常用的内存错误检测工具。     

Mitigating Malicious Code

ABSTRACT

Mitigation of malicious code is increasingly complicated by multi-staged and mutli-variant attacks taking place daily on the Internet today. It is now common for computers to be infected for long periods of time, with malicious browser help objects, rootkits, and similar stealth codes. Identification and removal from a computer can be especially difficult. In some cases, the only reasonable effort may be to completely wipe and reinstall an image of the system, known to be free of malicious code. Manual mitigation of malicious code is a sophisticated process of threat identification, research, mitigation, and monitoring to properly remove all threat components related to an attack.     

FB-NBAS:一种基于流的网络行为分析模型

传统的入侵检测系统通常需要对攻击预先了解,在流量分析和异常检测方面存在不足。该文提出一种新的基于流的统计分析模型,通过构建网络的行为特征库,实时监测和发现网络异常,基于该分析技术设计和实现了一个网络监控系统原型。该原型可以监测和发现网络中可疑代码,并进行实时跟踪。     

Generating optimized gate level information flow tracking logic for enforcing multilevel security

Vulnerabilities such as design flaws, malicious codes and covert channels residing in hardware design are known to expose hard-to-detect security holes. However, security hole detection methods based on functional testing and verification cannot guarantee test coverage or identify malicious code triggered under specific conditions and hardware-specific covert channels. As a complement approach to cipher algorithms and access control, information flow analysis techniques have been proved to be effective in detecting security vulnerabilities and preventing attacks through side channels. Recently, gate level information flow tracking (GLIFT) has been proposed to enforce bittight information flow security from the level of Boolean gates, which allows detection of hardware-specific security vulnerabilities. However, the inherent high complexity of GLIFT logic causes significant overheads in verification time for static analysis or area and performance for physical implementation, especially under multilevel security lattices. This paper proposes to reduce the complexity of GLIFT logic through state encoding and logic optimization techniques. Experimental results show that our methods can reduce the complexity of GLIFT logic significantly, which will allow the application of GLIFT for proving multilevel information flow security.     

Architecture of a morphological malware detector

Most of malware detectors are based on syntactic signatures that identify known malicious programs. Up to now this architecture has been sufficiently efficient to overcome most of malware attacks. Nevertheless, the complexity of malicious codes still increase. As a result the time required to reverse engineer malicious programs and to forge new signatures is increasingly longer. This study proposes an efficient construction of a morphological malware detector, that is a detector which associates syntactic and semantic analysis. It aims at facilitating the task of malware analysts providing some abstraction on the signature representation which is based on control flow graphs. We build an efficient signature matching engine over tree automata techniques. Moreover we describe a generic graph rewriting engine in order to deal with classic mutations techniques. Finally, we provide a preliminary evaluation of the strategy detection carrying out experiments on a malware collection.     

AODV路由协议的安全性改进

针对AdHoc网络易遭受黑洞攻击而造成大量丢包现象的安全问题,提出了一种基于非合作博弈理论的安全路由方法。以AdHoc网络节点和恶意节点为对象建立双人博弈模型,理论分析证明该模型存在纳什均衡点,即对博弈的双方均存在优势策略。AdHoc网络根据自己的优势策略选择路由进行防御和网络传输,恶意节点根据自己的优势策略采取网络攻击行为。分析和仿真结果表明,新方法能有效地选择比较安全的路由,从而减少了恶意节点对AdHoc网络进行黑洞攻击造成的影响,降低了路由开销和网络丢包率。     

A P2P Botnet detection scheme based on decision tree and adaptive multilayer neural networks

In recent years, Botnets have been adopted as a popular method to carry and spread many malicious codes on the Internet. These malicious codes pave the way to execute many fraudulent activities including spam mail, distributed denial-of-service attacks and click fraud. While many Botnets are set up using centralized communication architecture, the peer-to-peer (P2P) Botnets can adopt a decentralized architecture using an overlay network for exchanging command and control data making their detection even more difficult. This work presents a method of P2P Bot detection based on an adaptive multilayer feed-forward neural network in cooperation with decision trees. A classification and regression tree is applied as a feature selection technique to select relevant features. With these features, a multilayer feed-forward neural network training model is created using a resilient back-propagation learning algorithm. A comparison of feature set selection based on the decision tree, principal component analysis and the ReliefF algorithm indicated that the neural network model with features selection based on decision tree has a better identification accuracy along with lower rates of false positives. The usefulness of the proposed approach is demonstrated by conducting experiments on real network traffic datasets. In these experiments, an average detection rate of 99.08 % with false positive rate of 0.75 % was observed.