恶意软件检测中的特征选择问题

恶意软件检测问题是一个十分重要的问题,而特征选择的好坏对于恶意软件检测具有决定性的影响.该文提出用有效性,自动性及时空效率作为恶意软件检测中选择的特征好坏评价的基本指标,并讨论了几种恶意软件检测特征选择的分类方法.对目前常见的基于n元序列、基于操作码、基于基本块和基于行为的特征选择方法进行了较为系统的回顾,分析了各种特征选择方法的基本原理,总结梳理了每种特征选择方法的优点和缺点,并对特征选择的效果进行了定性的评估,得出的结论对于选择合适的特征用于恶意软件检测具有积极的参考意义.     

可信计算平台中Linux加密文件系统的设计与实现

加密文件系统是保护用户敏感数据的一种有效手段,传统的加密文件系统对用户数据的保护并不是非常可靠且存在被篡改的可能性。文章基于可信计算平台和Linux 2.6内核设计,实现了一个堆栈式加密文件系统TEFS(Trusted Computing-based Encrypted file system),该加密文件系统利用可信计算技术为其提供底层安全支撑,并结合可信计算平台中安全增强的操作系统定制、实施安全策略,进一步提高了其安全性。     

UNIX中对多种文件系统类型的支持

介绍了UNIX下通过虚拟文件系统接口实现多文件系统类型支持的技术,分析了AIX操作系统中虚拟文件系统接口的实现。在此基础上对支持用户实现自己的文件系统存在的问题与困难进行了分析与研究,提出了一种较方便实现新的文件系统的方法。该方法利用了已有文件系统的现成代码,大大减少了开发工作的难度与工作量。     

基于对象模式的UNIX实时文件系统设计

随着操作系统的发展,其组织结构可分为层次结构、内核结构和基于对象结构.对象结构使操作系统具有较高的灵活性、可扩展性和安全性.本文提出一个以对象结构组织实时文件系统的方法.在该方法中文件系统由若干实时轻对象组成,使得文件系统功能易于扩展和变化并能够获得满足新一代硬实时操作系统要求的实时可预测性能.同时文件系统本身成为操作系统中的一个重对象增加了系统整体的安全性和灵活性并使操作系统能够实现文件系统的动态更换。     

Linux管理工具在嵌入式系统中一种轻量级的实现方法

基于Linux系统的嵌入式开发中,桌面系统中的一些常用工具消耗资源严重,不适用于嵌入式环境.文中分析了proc虚拟文件系统,利用proc文件系统和内核模块技术实现这些工具的一个轻量级版本,最后讨论了这种方法的优缺点.     

一种Android恶意软件的动态检测方案

Android是当下最热门的移动终端平台,但其平台开源性特征使得恶意软件的数量出现爆炸式增长,因此,本文提出了一套恶意软件检测方案.首先利用“反探测方案”来防止恶意软件对模拟环境进行检测,然后在模拟器中运行待测应用,检测该应用是否有“流氓行为”,最后利用“基于动态软件系统API标记对比的检测方案”来进行恶意软件APK重打包检测.该方法适用于Android平台下移动终端设备安全防护的需要.     

BIM技术在古建筑保护中的应用现状

为探究BIM技术在古建筑保护中的应用现状,采取综述方法,对现有应用现状进行了分类汇总,指出其优缺点,提出了改进建议.结果表明:BIM在古建保护中的应用主要集中在记录古建筑生命周期的信息方法方面,可分为基于三维数字技术的全息几何模型、整体建筑信息模型、局部构件信息模型和基于BIM的古建筑全生命周期管理、分析.各信息方法之间尚未建立必然联系.对以上方法进行合理组合时,可望实现BIM技术在古建筑保护中的有效应用.     

基于ELF静态结构特征的恶意软件检测方法

Linux平台的恶意软件检测方法目前研究较少,主要的分析手段和检测技术依然有很大的局限性。提出了一种基于ELF文件静态结构特征的恶意软件检测方法。通过对Linux平台ELF文件静态结构属性深入分析,提取在恶意软件和正常软件间具有很好区分度的属性,通过特征选择方法约减提取的特征,然后使用数据挖掘分类算法进行学习,使得能正确识别恶意软件和正常文件。实验结果显示,所使用分类算法能够以99.7%的准确率检测已知和未知的恶意软件,且检测时间较短,占用系统资源较少,可实际部署于反病毒软件中使用。     

基于耦合作用的通信系统恶意软件传播建模与最优控制

考虑多个计算机恶意软件在传播过程中的耦合问题,通过提出合理的耦合函数描述恶意软件之间的所有耦合作用,并建立了含有移除率的2种恶意软件耦合传播数学模型.考虑到恶意软件传播过程中人为干预的成本和相应的传播代价,对所提模型中的控制与优化问题进行了分析,给出了最优解存在的必要条件.通过数值仿真,证实了该控制策略在给定成本函数下的控制效果,即在2种耦合计算机恶意软件同时传播时,既在一定程度上抑制其传播,又能使控制代价维持在较低水平.     

一种Android恶意行为检测算法

提出一种新的Android恶意行为检测算法,该算法使用系统调用序列和控制流序列表征Android应用程序的行为,通过分析已知恶意软件样本库,训练出一个恶意软件特征基和阈值,再计算Android应用程序与特征基的相似度,根据阈值判断目标是否为恶意软件.根据该算法,开发了一个Android恶意软件检测系统SCADect,并在华为U8860真机上对3 000个测试样本进行分类,准确率达到96.8%;针对包含混淆和加密操作的8簇237个恶意样本,该系统的检出率达到89%,明显优于工具Androguard.实验结果表明,SCADect能够抵抗混淆和加密攻击,提高恶意软件检测的准确率和降低误报率.     

Android恶意程序行为分析系统设计

提出了一种基于行为的Android恶意程序分析系统（nDroidAS）设计. nDroidAS加入客户端组件监控用户设备上的Android安装包（APK）安装操作,以及时分析待安装应用程序. 服务器端在虚拟环境中安装、运行应用程序,执行动态行为分析检出恶意程序;同时,抓取互联网中的APK程序包并提前分析,建立结果缓存,加快对用户分析请求的响应. 构建了简化的nDroidAS原型系统,分析了部分APK程序样本. 验证结果表明：nDroidAS能有效监控Android设备中的APK安装操作并及时响应客户端分析请求,是一种可行的恶意程序行为分析系统方案.     

基于关键点复用的恶意行为检测方法

针对恶意程序使用反虚拟执行技术,分析人员在虚拟环境中不能检测到恶意行为的问题,提出了基于关键点复用的恶意行为检测方法.首先通过静态分析,检测程序中的反虚拟执行关键点;提取程序动态运行时调用的API函数,并在程序运行至关键点时创建当前快照;最后,当运行至路径结束点时通过关键点复用运行另一路径.实验结果表明,该方法能有效对抗恶意程序采用的反虚拟执行技术,从而检测恶意行为.     

基于敏感函数覆盖的恶意代码行为 并行分析技术研究

为提高恶意代码行为分析的效率,增加测试数据的有效性,提出了一种基于目标代码内部敏感行为函数覆盖的并行化恶意代码行为分析方法,运用静态分析进行输入点与敏感行为函数的识别与定位,将符号执行与动态执行分析相结合设计了并行化敏感路径搜索算法及敏感行为函数逼近技术,引导遍历目标代码内部敏感行为函数,进行恶意代码行为的并行化测试与分析。实验表明,与采用随机产生测试用例进行直接测试和使用全路径覆盖进行测试相比,该方法可以更加有效地产生测试数据,提高恶意代码行为的分析速度与效率。     

基于内存监控的动态脱壳系统

恶意代码所采用的各式各样的“壳”给安全分析带来了很多困难,加壳代码的自动脱壳技术对提高安全分析工作的效率有很大作用。根据加壳程序在运行过程中的特点,设计并实现了基于内存监控的恶意代码动态自动脱壳系统。该系统动态的记录并分析加壳程序在运行过程中内存操作,并根据脱壳特点确定原程序的真正执行位置,完整的记录加壳程序脱壳过程。实验表明,该动态脱壳技术可以有效实现对恶意代码的自动脱壳。     

云计算下手机人工免疫恶意代码检测模型

提出一种适用于云计算环境的基于人工免疫的手机恶意代码检测模型。提出扩展阴性选择算法,提取恶意代码的特征编码生成抗原,增加针对高亲和度检测器的克隆和变异算子,提高成熟检测器的生成效率,在特征检测和检测器生成阶段引入MapReduce并行处理机制,提高计算效率。仿真结果表明,检测模型对未知手机恶意代码具有较高的检测率和计算效率。     

基于随机森林算法的Android恶意行为识别与分类方法

针对当前Android恶意软件检测方法对检测出的恶意行为无法进行识别和分类的问题,提出基于随机森林（RF）算法的Android恶意行为的识别与分类方法. 该方法在对Android恶意软件的类型进行定义的基础上,利用融合多种触发机制的Android恶意行为诱导方法触发软件的潜在恶意行为;通过Hook关键系统函数对Android软件行为进行采集并生成行为日志,基于行为日志提取软件行为特征集;使用随机森林算法,对行为日志中的恶意行为进行识别与分类. 实验结果表明,该方法对Android恶意软件识别的准确率达到91.6%,对恶意行为分类的平均准确率达到96.8%.     

基于属性相似度的恶意代码检测方法

针对未知恶意代码数量急剧增长,现有的检测方法不能有效检测的问题,提出一种基于属性相似度的恶意代码检测方法.该方法将样本文件转换成十六进制格式,提取样本文件的所有n-gram,计算每个n-gram的信息增益,并选择具有最大信息增益的N个n-gram作为特征属性,分别计算恶意代码和正常文件每一维属性的平均值,通过比较待测样本属性与恶意代码和正常文件两类别属性均值的相似度来判断待测样本类别.结果表明,该方法对未知恶意代码的检测性能优于基于n-gram的恶意代码检测方法.     

Linux虚拟文件系统分析

本文对Linux文件系统源代码进行了分析,Linux文件系统可以支持多种不同的文件系统.通过虚拟文件系统不但协调了不同文件系统差异,也简化了系统的实现,因而成为理解Linux文件系统的关键.