基于语义的恶意代码行为特征提取及检测方法

提出一种基于语义的恶意代码行为特征提取及检测方法,通过结合指令层的污点传播分析与行为层的语义分析,提取恶意代码的关键行为及行为间的依赖关系;然后,利用抗混淆引擎识别语义无关及语义等价行为,获取具有一定抗干扰能力的恶意代码行为特征.在此基础上,实现特征提取及检测原型系统.通过对多个恶意代码样本的分析和检测,完成了对该系统的实验验证.实验结果表明,基于上述方法提取的特征具有抗干扰能力强等特点,基于此特征的检测对恶意代码具有较好的识别能力.     

基于抽象特征检测变形恶意代码

传统的恶意代码检测方法通常以固定的指令或字节序列这些具体特征作为检测依据,因此难以检测变形恶意代码.使用抽象特征是解决该问题的一个思路.本文针对恶意代码常用的变形技术,即等价指令替换、垃圾代码插入以及指令乱序进行研究.定义了一种抽象特征,同时提出了依据该抽象特征检测变形恶意代码的方法.最后,以典型变形病毒Win32.Evol为对象进行了实验,将该方法与其它方法进行了对比.实验结果验证了该方法的有效性.     

基于感知哈希算法和特征融合的恶意代码检测方法

在当前的恶意代码家族检测中,通过恶意代码灰度图像提取的局部特征或全局特征无法全面描述恶意代码,针对这个问题并为提高检测效率,提出了一种基于感知哈希算法和特征融合的恶意代码检测方法.首先,通过感知哈希算法对恶意代码灰度图样本进行检测,快速划分出具体恶意代码家族和不确定恶意代码家族的样本,实验测试表明约有67％的恶意代码能...     

基于归一化的变形恶意代码检测

许多未知恶意代码是由已知恶意代码变形而来。该文针对恶意代码常用的变形技术,包括等价指令替换、插入垃圾代码和指令重排,提出完整的归一化方案,以典型的变形病毒Win32.Evol对原型系统进行测试,是采用归一化思想检测变形恶意代码方面的有益尝试。     

检测迷惑恶意代码的层次化特征选择方法

各种迷惑恶意代码能够轻易躲避传统静态检测,而动态检测方式虽有较好的检测率,却消耗大量系统资源。为提高低系统开销下迷惑恶意代码的检测率,提出一种层次化特征选择方法,依次在引导层、个体层、家族层和全局层上生成并选择特征。层次方法以逐层精化特征的方式寻求特征冗余和信息漏选之间的平衡。实际数据集上的实验结果表明所提方法的迷惑恶意代码检测率较高,与传统特征选择方法相比,具有所需训练样本集小、泛化能力强的优点。     

基于流量统计指纹的恶意代码检测模型

采用加密和隧道技术的恶意代码难以检测。为此,提出基于流量统计指纹的恶意代码检测模型。提取恶意代码流量中的包层特征和流层特征,对高维流层特征采用主成分分析进行降维,利用两类特征的概率密度函数建立恶意代码流量统计指纹,使用该指纹检测网络中恶意代码通信流量。实验结果表明,该模型能有效检测采用加密和隧道技术的恶意代码。     

一种基于本地化特征的恶意代码检测系统设计

随着网络安全技术的发展,计算机病毒已经不能够准确描述安全事件,提出了用恶意代码来描述,由于恶意代码的多样性,目前的恶意代码检测技术不能满足需要。在对恶意代码特征研究的基础上,提出了基于本地化特征的恶意代码检测技术。恶意代码要获取执行的机会,必然要进行本地化设置,对恶意代码的本地化特点进行了研究,在此基础上设计出了一种基于本地化特征的恶意代码检测系统,并进行了测试,结果证明基于本地化特征的恶意代码检测方法是一种有效的方法。     

基于API序列的可解释恶意代码检测方法

针对基于API序列的恶意代码检测方法中,深度学习方法特征可解释性差,传统机器学习方法依赖人工设计特征以及忽视数据间时序特性等问题,从时序分类的角度,提出一种基于API序列的可解释恶意代码检测方法。将恶意代码动态API调用序列转换为熵时间序列;使用时间序列分类中的shapelet方法提取具有辨别性的特征;使用多种分类器构造检测模型。实验结果表明,该方法能够自主学习具有辨别性的时序特征,能够在兼具高准确率的同时提供模型的可解释性分类依据。     

基于机器学习算法的主机恶意代码检测技术研究

对机器学习算法下主机恶意代码检测的主流技术途径进行了研究,分别针对静态、动态这2种分析模式下的检测方案进行了讨论,涵盖了恶意代码样本采集、特征提取与选择、机器学习算法分类模型的建立等要点。对机器学习算法下恶意代码检测的未来工作与挑战进行了梳理。为下一代恶意代码检测技术的设计和优化提供了重要的参考。     

基于属性序约简的恶意代码检测

研究了已有的恶意代码特征选择和约简方法,针对已有的属性约简方法没有充分利用特征选择评估函数信息的不足,提出以信息增益值和特征的规模对候选特征排序,并使用属性序约简对特征进行约简的方法,分析了时空复杂度,给出了总体设计方案。实验结果验证了属性序约简的应用能够在较短的时间内获得较少的约简结果,使用约简后的特征进行分类准确率较高。     

基于数据挖掘的入侵检测研究

网络入侵检测系统已经成为网络安全架构的一部分.但是当前的NIDS（network intrusion detection system）在未知攻击的检测上都存在虚警率过高的问题.首先对在线和离线系统的优缺点做了对比,重点介绍了分类器的集成学习和多检测器关联以及数据挖掘方法中的一些实用技术,然后介绍现存的系统和评价数据集,最后总结了入侵检测领域的工作并给出了这个领域的发展方向.     

基于PE静态结构特征的恶意软件检测方法

针对现有检测方法的不足,提出了一种通过挖掘PE文件结构信息来检测恶意软件的方法,并用最新的PE格式恶意软件进行了实验。结果显示,该方法以99.1%的准确率检测已知和未知的恶意软件,评价的重要指标AUC值是0.998,已非常接近最优值1,高于现有的静态检测方法。同时,与其他方法相比,该检测方法的处理时间和系统开销也是较少的,对采用加壳和混淆技术的恶意软件也保持稳定有效,已达到了实时部署使用要求。此外,现有的基于数据挖掘的检测方法在特征选择时存在过度拟合数据的情况,而该方法在这方面具有较强的鲁棒性。     

MACSPMD:基于恶意API调用序列模式挖掘的恶意代码检测

基于动态分析的恶意代码检测方法由于能有效对抗恶意代码的多态和代码混淆技术,而且可以检测新的未知恶意代码等,因此得到了研究者的青睐。在这种情况下,恶意代码的编写者通过在恶意代码中嵌入大量反检测功能来逃避现有恶意代码动态检测方法的检测。针对该问题,提出了基于恶意API调用序列模式挖掘的恶意代码检测方法MACSPMD。首先,使用真机模拟恶意代码的实际运行环境来获取文件的动态API调用序列;其次,引入面向目标关联挖掘的概念,以挖掘出能够代表潜在恶意行为模式的恶意API调用序列模式;最后,将挖掘到的恶意API调用序列模式作为异常行为特征进行恶意代码的检测。基于真实数据集的实验结果表明,MACSPMD对未知和逃避型恶意代码进行检测的准确率分别达到了94.55%和97.73%,比其他基于API调用数据的恶意代码检测方法 的准确率分别提高了2.47%和2.66%,且挖掘过程消耗的时间更少。因此,MACSPMD能有效检测包括逃避型在内的已知和未知恶意代码。     

基于数据挖掘的入侵特征建模

通过分析数据挖掘技术在入侵特征搜寻中的作用,提出了一个应用在基于网络和主机的混合模式入侵检测系统中的特征挖掘模型。该模型的特点是完全运用数据挖掘技术来建模,不仅对各种已知和未知入侵行为具有很好的辨别度,而且非常适合于现在流行的混合模式的入侵检测系统。     

基于Unix系统调用的数据挖掘算法

将数据挖掘方法应用于入侵检测中研究的一个重要方向是,对Unix环境下特定程序运用关联、序列等数据挖掘算法该文简单描述了目前比较成熟的几种算法思想,重点介绍了RIPPER分类算法,并提出了一些改进思想。     

基于数据挖掘的入侵检测系统

论述了入侵检测系统的基本概念，针对目前入侵检测系统中存在的问题，提出了一个基于数据挖掘技术的自适应入侵检测系统模型。介绍了该系统模型的基本思想，阐述其结构及主要功能，着重分析了该系统的数据挖掘过程，利用数据挖掘技术自动地从大量数据中提取重要的特征和新的模式，生成有意义的规则并建立检测模型。     

基于沙盒技术的恶意程序检测模型

计算机恶意程序引发的犯罪活动越来越多,因此,恶意程序的有效检测成为了人们研究和关注的焦点。基于 沙盒技术的恶意程序动态分析检测方法成为了目前研究的热点。利用改进的QEMU进程虚拟机,以获取更高的仿真 响应时间和完整的API序列流为目的,基于改进的攻击树提出了一个行为分析算法,并用实例加以说明。实验结果 证明提出的检测方法是可行的、有效的。     

一个基于数据挖掘的入侵检测系统模型

1.概述入侵检测实质上归结为对安全审计数据的处理。按分析引擎所使用的检测方法可以将入侵检测系统分为误用(基于知识)检测和异常(基于行为)检测。前者运用已知攻击方法,根据已定义好的入侵模式,通过判断这些入侵模式是否出现来进行检测。为了克服误用检测的缺陷,人们提出了针对入侵行为的异常检测模型,指根据使用者的行为或资源使用状况的正常程度来判断是否入侵,而不依赖于具体行为是否出现来检测,目前处于研究阶段。     

基于数据挖掘的入侵检测

针对现有入侵检测方法的缺陷，结合异常检测和误用检测，提出了一种用数据挖掘技术构造入侵检测系统的方法，使用该方法构造了一个基于数据挖掘的入侵检测原型系统。实验表明，该系统对已知攻击模式具有很高的检测率，对未知攻击模式也具有一定的检测能力。同时，该系统也具有一定的智能性和自适应性。     

基于移动软件行为大数据挖掘的恶意软件检测技术

目前移动恶意软件数量呈爆炸式增长,变种层出不穷,日益庞大的特征库增加了安全厂商在恶意软件样本处理方面的难度,传统的检测方式已经不能及时有效地处理软件行为样本大数据。基于机器学习的移动恶意软件检测方法存在特征数量多、检测准确率低和不平衡数据的问题。针对现存的问题,文章提出了基于均值和方差的特征选择方法,以减少对分类无效的特征;实现了基于不同特征提取技术的集合分类方法,包括主成分分析、Kaehunen-Loeve 变换和独立成分分析,以提高检测的准确性。针对软件样本的不平衡数据,文章提出了基于决策树的多级分类集成模型。实验结果表明,文章提出的三种检测方法都可以有效地检测 Android平台中的恶意软件样本,准确率分别提高了6.41%、3.96%和3.36%。