恶意软件网络协议的语法和行为语义分析方法

网络协议逆向分析是恶意软件分析的一项重要内容.现有的网络协议逆向分析方法主要考虑获取消息格式和协议语法,缺少数据的行为语义,导致分析者难以在网络数据和恶意软件行为之间建立起对应关系.提出一种网络协议的语法规范和字段行为语义分析方法,该方法利用基于虚拟执行环境的动态程序分析技术,通过分析恶意软件对网络数据的解析过程提取协议语法信息,并根据恶意软件对协议字段的使用方式获取字段的程序行为语义.通过结合API拦截和指令执行监控,该方法降低了分析复杂度,提高了分析效率.在所设计和实现的原型系统Prama(protocol reverse analyzer for malware analysis)上的实验结果表明,该方法能够较为准确地识别字段,提取协议语法规范,并能在命令字段与其引起的程序行为之间建立起有效的对应关系.     

受恶意程序传染的WSNs可生存性评估

为实现传感节点数据高可靠传输的无线传感器网络WSNs（Wireless Sensor Networks）,提出一种针对受恶意程序传染的聚簇WSNs可生存性评估方法。通过使用能预测恶意程序传染行为的博弈模型,将恶意程序传染的故意性与马尔可夫链的随机性关联,实现利用马尔可夫链中的状态转换描述恶意程序传染行为的目的。使用提出的易感节点可靠度评估指标,根据可靠性理论将聚簇WSNs看作一个“并-串-并”系统,推理得到了一个簇、一条路由直至整个WSNs的可靠度评估指标,最终得到WSNs生存期评估指标。实验分析了影响WSNs可生存性的因素,结果表明提出的方法能有效评估WSNs的可生存性,为设计高可生存的WSNs提供理论基础。     

面向小样本的恶意软件检测综述

恶意软件检测是网络空间安全研究中的热点问题, 例如Windows恶意软件检测和安卓恶意软件检测等. 随着机器学习和深度学习的发展, 一些在图像识别、自然语言处理领域的杰出算法被应用到恶意软件检测, 这些算法在大量数据下表现出了优异的学习性能. 但是, 恶意软件检测中有一些具有挑战性的问题仍然没有被有效解决, 例如, 基于少量新颖类型的恶意软件, 常规的学习方法无法实现有效检测. 因此, 小样本学习(few-shot learning, FSL)被用于解决面向小样本的恶意软件检测(few-shot for malware detection, FSMD)问题. 通过相关文献, 提取出FSMD的问题定义和一般流程. 根据方法原理, 将FSMD方法分为: 基于数据增强的方法、基于元学习的方法和多技术结合的混合方法, 并讨论每类FSMD方法的特点. 最后, 提出对FSMD的背景、技术和应用的展望.     

Forecasting Malware Conditions: Worsening Conditions,Some Bright Spots

ABSTRACT

With a simple model originating from mathematical biology, the dependencies for the number of infected computers are identified. The actions in the battle between cyber attack and cyber defense are linked to these dependencies. The article shows that using statistics directly to quantify the effect of security measures is difficult. The security effect is calculated for a periodic reset of all software and software compartments. Software diversity needs coordination above the level of individual organizations. Looking at the big picture, more countermeasures are proposed to improve security against malware in general.     

面向安卓恶意软件检测的对抗攻击技术综述

随着对Android恶意软件检测精度和性能要求的提高,越来越多的Android恶意软件检测引擎使用人工智能算法.与此同时,攻击者开始尝试对Android恶意软件进行一定的修改,使得Android恶意软件可以在保留本身的功能的前提下绕过这些基于人工智能算法的检测.上述过程即是Android恶意软件检测领域的对抗攻击.本文...     

Android恶意软件检测方法研究

针对Android恶意软件泛滥的局面,提出了一种基于行为的恶意软件动态检测的方法。首先,综合收集软件运行时的动态信息,包括软件运行时系统的信息和软件的内核调用信息,并将内核调用序列截断成定长短序列的形式。其次,将各方面信息统一为属性、属性值的形式。以信息增益作为指标,选用CA．5算法筛选出信息增益高、作用不重叠的属性,并依据信息增益的大小为各属性正比分配权重因子。最后,用K最近邻算法完成机器学习,识别出与样本类似的恶意软件,并将未知类型的软件标记为疑似恶意。实验结果表明,该方法识别率高、误报率低。通过增大学习样本库,识别的效果可以进一步提高。     

基于恶意代码传播日志的网络安全态势分析

网络安全态势一直是网络安全从业人员的关注点。本文基于2018年10月至2019年3月的我国恶意代码的传播日志,利用恶意代码的静态特征、动态特征及其传播特征对网络态势进行分析。然后基于社区发现算法,对其中传播最广泛的Mirai家族程序构成的网络进行团伙发现,结果表明,社区发现算法能够将Mirai网络识别为多个社区,社区间的域名资源具有明显的差异性,社区内域名资源具有相似性。     

基于单点多步博弈的网络防御策略选取方法

当前复杂环境下网络安全问题频发,而现有攻防博弈网络防御模型未考虑网络攻击单点多步的特性,无法有效进行网络防御.针对网络攻防实际需求,通过模拟攻防环境和过程,提出一种基于单点多步网络攻防博弈模型的防御策略选取方法.建立单点多步攻防博弈模型,将全局博弈缩小为漏洞上的局部博弈以适应各种防御体系的攻防分析,采用漏洞评分系统量化...     

一种基于混合特征的移动终端恶意软件检测方法

随着移动终端恶意软件的种类和数量不断增大,本文针对Android系统恶意软件单特征检测不全面、误报率高等技术问题,提出一种基于动静混合特征的移动终端恶意软件检测方法,以提高检测的覆盖率、准确率和效率。该方法首先采用基于改进的CHI方法和凝聚层次聚类算法优化的K-Means方法构建高危权限和敏感API库,然后分别从静态分析和动态分析两个方面提取移动终端系统混合特征。在静态分析中,首先反编译APK文件,分析得到权限申请特征和敏感API调用特征;在动态分析中,通过实时监控APP运行期间的动态行为特征,分别提取其在运行过程中的敏感API调用频次特征和系统状态等特征信息;接着分别使用离差标准化、TF-IDF权重分析法和优序图法对混合特征进行归一化和特征权重赋值处理。最后,通过构建测评指标对本文所提基于混合特征恶意软件检测方法进行对比测试验证和评价分析。实验结果表明:本方法针对Android系统恶意软件的检测具有好的准确率和效率,可有效提高移动终端恶意软件检测的精确度。     

基于博弈论的综合赋权法的信息安全风险评估

为了合理确定风险评估中风险因素的权重,对信息安全风险进行科学的评价,在确定风险因素权重时,本文应用基于博弈论的综合赋权法将主、客观权重集成为风险因素的综合权重。并利用该方法对信息系统进行了实例分析,说明了该方法所得的评估结果科学合理,为信息系统风险评估提供了一个新的思路。     

面向云环境内部DDoS攻击检测的博弈论优化

结合传统基于虚拟机内省(virtual machine introspection-based, VMI)和基于网络(network-based)入侵检测系统(intrusion detection system, IDS)的特点,提出一种部署在云服务器集群内部的协同入侵检测系统(virtual machine introspection & network-based IDS, VMI-N-IDS)来抵御云环境内部分布式拒绝服务攻击(distributed denial of service, DDoS)攻击威胁,比如“云滴冻结”攻击.将入侵检测系统和攻击者看作是博弈的双方,提出一种针对云服务器集群内部DDoS攻击与检测的博弈论模型;分别给出博弈双方的效用函数,并证明了该模型子博弈精炼纳什均衡;给出了权衡误报率和恶意软件规模控制的最佳防御策略,解决了动态调整云环境内部入侵检测策略的问题.实验表明,VMI-N-IDS能够有效抵御云环境内部DDoS攻击威胁.     

基于网络攻防博弈模型的最优防御策略选取方法

为了降低安全风险损失,并在有限的资源下做出最优网络防御决策,设计了一种网络攻防博弈最优策略选取方法。首先,建立网络攻防博弈模型,证明了该模型混合策略纳什均衡的存在性;然后,给出了基于该模型的网络攻防策略选取算法,包括基于网络攻防策略图的攻防策略搜索算法、攻防双方不同策略下基于通用漏洞评分系统的效用函数量化计算方法和混合策略纳什均衡求解方法等;最后,在一个典型的网络攻防实例场景下对模型的有效性进行了分析和验证。实验结果表明,该模型能够有效地生成最优防御决策方案。     

协作通信中基于斯塔科尔伯格博弈的物理层安全分析

物理层安全不是利用传统的密钥加密,而是利用信道的传输特性使得合法的通信双方实现安全传输的方法。无线协作通信中节点行为对物理层安全的影响是至关重要的。本文应用斯塔科尔伯格博弈模型研究节点之间的利益,在中继自私的协作放大转发网络中,得到网络中节点之间的效用平衡的最优解存在条件,并提出一种分布式算法,找到网络平衡下的最优安全性能解。     

一种面向图神经网络安卓恶意代码检测的通用解释定位方法

面对不断涌现的安卓恶意应用,虽然大量研究工作采用图神经网络分析代码图实现了准确高效的恶意应用检测,但由于未提供应用内恶意代码的具体位置信息,难以对后续的人工复核工作提供有效帮助.可解释技术的出现为此问题提供了灵活的解决方法,在基于不同类型神经网络及代码特征表示实现的检测模型上展示出了较好的应用前景.本研究聚焦于基于图神经网络的安卓恶意代码检测模型上,使用可解释技术实现安卓恶意代码的准确定位:（1）提出了基于敏感API及多关系图特征的敏感子图提取方法.根据敏感API,控制流逻辑以及函数调用结构三类特征与恶意代码子图分布的关联性,细致刻画恶意代码特征,精简可解释技术关注的代码图规模;（2）提出了基于敏感子图输入的可解释技术定位方法.使用基于扰动原理的可解释技术,在不改变检测模型结构的情况下对代码图边缘进行恶意性评分,为各类基于图神经网络安卓恶意代码检测提供解释定位;（3）设计实验验证敏感子图提取对于与恶意代码特征的刻画效果以及基于敏感子图提取的解释定位效果.实验结果显示,本文的敏感子图提取方法相较于MsDroid固定子图半径的方法更为精确,能够为可解释技术提供高质量的输入;基于此方法改进后得到的可解释技术定位方法相较于GNNExplainer通用解释器及MsDroid定位方法,在保证定位适用性和效率的同时,恶意代码平均定位准确率分别提高了8.8%和2.7%.     

Rootkit隐藏技术与检测方法研究

近些年来,恶意代码攻击的目的由破坏炫耀向经济利益转变,因而更加注重自身的隐藏.Rootkit具有隐蔽性强、特权级高等特点,成为主机安全的严重威胁.硬件虚拟化技术出现后,Rootkit扩展到了操作系统外部,对检测技术提出了新的挑战.本文总结了近几年网络安全领域中Rootkit隐藏技术和检测技术的研究进展,分析了各自面临的问题,并基于对Rootkit隐藏技术和检测技术的分析,探讨Rootkit检测技术的发展趋势.     

基于时机博弈的网络安全防御决策方法

现有的网络防御决策模型大多基于攻防行为进行建模分析,忽视了攻防时机对网络安全产生的影响,且对网络攻防时机的选取大多依赖经验和主观判断,导致网络安全管理者在进行防御决策时难以提供可信的理论支撑。然而网络攻防的时机因素对网络防御决策的意义重大,在面对外部攻击时能否进行实时决策,决定了网络在攻防对抗中能否掌握主动,以最小的代价将攻击危害降到最低。针对网络安全中的时机策略选取问题,提出一种网络安全防御决策方法,基于SIR传染病模型并加以改进,构造描述网络安全状态的微分方程,实现对系统安全状态的实时度量。借鉴FlipIt博弈方法构建攻防时机博弈模型,提出攻防收益量化与计算方法,通过求解不同攻防周期策略下的纳什均衡,获得最优防御时间策略。实验结果表明,当攻击策略一定时,使用该方法动态选择最优防御策略的平均收益为0.26,相比固定周期的防御方法,平均防御收益提高了23.81%。     

一种基于概率主题模型的恶意代码特征提取方法

在当前复杂网络环境下,恶意代码通过各种方式快速传播,入侵用户终端设备或网络设备、非法窃取用户隐私数据,对网络和互联网用户造成了严重的安全威胁.传统检测方法难以检测未知恶意代码,而恶意代码变体的多样性和庞大数量也对未知恶意代码检测构成了巨大挑战.提出了一种无监督的恶意代码识别方法,通过分析反汇编PE文件给出汇编指令标准化规则,结合潜在狄立克雷分布(latent Dirichlet allocation, LDA)获得汇编指令中潜在的“文档-主题”、“主题-词”的分布.再以“主题分布”构造恶意样本特征,产生一个全新的恶意代码检测框架.结合“困惑度”和变化的步长给出了最优“主题”数目的快速评价和自动确定方法,解决了LDA模型中主题数目需要预先指定的问题.同时解析了“文档-主题”、“主题-词”聚集结果的语义可解释性,说明了该方法获得的样本特征具有潜在的语义.实验结果表明：与其他方法相比该方法具有相当的或更好的恶意代码鉴别能力,同时能够准确地识别恶意代码的新变体.     

基于议价贝叶斯博弈模型的防欺诈策略

多媒体信息易遭受敌手攻击,如恶意应用通过虚假报价来欺诈未采取防护措施的用户,导致用户财产或隐私面临极大的威胁。为解决上述问题,文章提出一种基于议价贝叶斯博弈模型的防欺诈策略来保护用户隐私。首先利用四轮讨价还价确定应用和用户交互时的收益矩阵,引入常规用户的检测率对收益矩阵进行调整,抑制恶意应用虚假报价;然后通过贝叶斯纳什均衡分析确定用户的最优防御策略以防止用户遭受恶意应用的欺骗,避免个人隐私泄露。仿真结果表明,文章方案提高了应用和用户在交易达成时各自的收益,降低了恶意应用采取欺骗策略的概率,增强了用户隐私的安全性。     

基于多阶段动态博弈的信息安全技术评价

如何评价分析信息安全技术已成为当前的研究热点.本文基于攻防博弈模型对由防火墙、入侵检测系统构成的安全体系进行了分析,求出了阶段博弈模型的混合策略纳什均衡解.在阶段博弈分析的基础上,引入重复博弈的概念对模型进行了多阶段的动态博弈分析.研究表明,信息安全技术配置直接影响攻防双方的行为变化,贴现因子与入侵概率存在密切关系,从防御方的角度看,入侵概率的准确预测对其策略的选择具有重要影响.因此,作为防御方应积极记录、分析和量化攻击的方式、目标、数量及类型,进而优化配置,这将有效提高应用信息安全技术的效用.     

基于博弈理论的动态入侵响应

随着计算机网络的飞速发展,人们对互联网技术的依赖程度越来越高,因此确保网络系统的安全性也变得越来越重要.近年来,由于网络攻击事件的增多,入侵检测和响应技术越来越成为目前的研究热点之一.不过与其他安全技术得到广泛应用并取得良好的效果相比,入侵检测与响应的发展是滞后的.这一方面是由于入侵检测自身检测技术的限制,另一方面是由于目前的报警响应研究未能处理好系统的收益及攻击者策略变化等问题.针对上述第2个问题,提出了一种基于博弈理论的动态入侵响应DIRBGT模型.该模型一方面对攻击者和系统双方收益计算得比较全面,因此系统在报警响应后的收益得到了保证;另一方面还将攻击者可能的策略变化纳入模型当中,与单从系统一方推理最优响应的不稳定性相比,其最优解是稳定、可靠的.实验结果表明,DIRBGT模型有效提高了报警响应的准确性和效果.