基于静态分析的Java源代码后门检测技术研究

Web工程中存在的后门给网站安全带来极大风险,针对日益猖獗的后门攻击,文章提出了一种基于静态分析的后门检测技术,该技术通过分析源代码,可以检测出Java语言Web工程中存在的主要后门漏洞,并结合流分析及关键数据传播分析,给出漏洞的完整攻击路径。     

Insane——Java内存泄漏分析工具

在我们日常使用Java软件的时候,JVM经常会抛出一些奇怪的异常,对于某些特殊的异常,不光需要我们分析程序的结构,还需要了解Java虚拟机中的对象结构。另外,Java程序也可能会有内存泄漏的情况发生,当我们在查找内存泄露时,通常是需要长时间满负荷     

基于朴素贝叶斯分类器的硬件木马检测方法

在侧信道分析的基础上,针对芯片中存在的硬件木马,提出一种基于朴素贝叶斯分类器的硬件木马检测,该方法能够利用训练样本集构建分类器,分类器形成后便可将采集到的待测芯片功耗信息准确分类,从而实现硬件木马检测。实验结果表明,对于占电路资源1.49%和2.39%的两种木马,贝叶斯分类器的误判率仅为2.17%,验证了该方法的有效性和适用性。此外,在与欧氏距离判别法比较时,基于朴素贝叶斯分类器的方法表现出了更高的判别准确率,同时也具有从混杂芯片中识别出木马芯片与标准芯片的能力,这又是马氏距离判别法所不具备的。     

基于自定义后门的触发器样本检测方案

深度学习利用强大的特征表示和学习能力为金融、医疗等多个领域注入新的活力, 但其训练过程存在安全威胁漏洞, 攻击者容易通过操纵训练集或修改模型权重执行主流后门攻击: 数据中毒攻击与模型中毒攻击。两类攻击所产生的后门行为十分隐蔽, 后门模型可以保持干净样本的分类精度, 同时对嵌入攻击者预定义触发器的样本呈现定向误分类。针对干净样本与触发器样本在拟合程度上的区别, 提出一种基于自定义后门行为的触发器样本检测方案 BackDetc, 防御者自定义一种微小触发器并执行数据中毒攻击向模型注入自定义的后门, 接着通过嵌入自定义触发器设计一种输入样本扰动机制, 根据自定义触发器的透明度衡量输入样本的拟合程度, 最终以干净样本的拟合程度为参照设置异常检测的阈值, 进而识别触发器样本, 不仅维持资源受限用户可负担的计算开销, 而且降低了后门防御假设, 能够部署于实际应用中, 成功抵御主流后门攻击以及威胁更大的类可知后门攻击。在 MNIST、 CIFAR-10 等分类任务中, BackDetc 对数据中毒攻击与模型中毒攻击的检测成功率均高于目前的触发器样本检测方案, 平均达到 99.8%以上。此外, 论文探究了检测假阳率对检测性能的影响, 并给出了动态调整 BackDetc 检测效果的方法, 能够以 100%的检测成功率抵御所有分类任务中的主流后门攻击。最后, 在 CIFAR-10 任务中实现类可知后门攻击并对比各类触发器样本检测方案, 仅有 BackDetc 成功抵御此类攻击并通过调整假阳率将检测成功率提升至 96.2%。     

一种基于支持向量机和免疫规则生成的洪泛攻击检测方法

分析了洪泛攻击的攻击原理并提出了一种有效的针对此类攻击的检测方法在用基于支持向量机的异常检测分类器分类出异常报文中,依据报文相似度生成免疫规则从而阻断所有经过IP变换的攻击报文,并列出了试验结果.     

基于动态行为分析的网页木马检测方法

网页木马是一种在网页中插入攻击脚本,利用浏览器及其插件中的漏洞,使受害者的系统静默地下载并安装恶意程序的攻击形式.本文结合动态程序分析和机器学习方法,提出了基于动态行为分析的网页木马检测方法.首先,针对网页木马攻击中的着陆页上的攻击脚本获取行为,监控动态执行函数执行,包括动态生成函数执行、脚本插入、页面插入和URL跳转,并根据一套规则提取这些行为,此外提取与其相关的字符串操作记录作为特征.其次,针对利用堆恶意操作注入shellcode的行为,提出堆危险指标作为特征.最后从Alexa和VirusShare收集了500个网页样本作为数据集,用机器学习方法训练分类模型.实验结果表明：与现有方法相比,文中方法具有准确率高（96.94%）、能有效对抗代码混淆的干扰（较低的误报率6.1%和漏报率1.3%）等优点.     

RTL级硬件木马问题研究

信息时代使得信息安全变得日益重要。信息安全可以分为两类:软件安全和硬件安全。攻击方为了获取想要的信息,除了使用软件方面的手段,如病毒、蠕虫、软件木马等,同样也使用硬件手段来威胁设备、系统和数据的安全,如在芯片中植入硬件木马等。如果将硬件木马植入信息处理的核心——处理器,那将风险更高、危害更大。然而,硬件木马位于信息系统底层核心的层面,难以被检测和发现出来。硬件木马是国内外学术界研究的热点课题,尤其是在设计阶段结合源代码的硬件木马检测问题,是新问题,也是有实际需要的问题。在上述背景并结合国内对芯片RTL源代码安全风险评估的实际需求展开了相关工作,围绕RTL源代码中硬件木马的问题展开了研究。主要贡献:针对RTL级硬件木马尚未在学术上给出一般属性的问题,给出硬件木马的属性描述形式,在形成硬件木马属性的基础上,以模块端口信号为源,提出了一种基于信号流向的多叉树分层递归搜索方法,实验结果表明,该方法对于依附在端口上的硬件木马的检测是有效的。     

面向 Java 的高对抗内存型 Webshell 检测技术

由于 Web 应用程序的复杂性和重要性, 导致其成为网络攻击的主要目标之一。攻击者在入侵一个网站后, 通常会植入一个 Webshell, 来持久化控制网站。但随着攻防双方的博弈, 各种检测技术、终端安全产品被广泛应用, 使得传统的以文件形式驻留的 Webshell 越来越容易被检测到, 内存型 Webshell 成为新的趋势。 内存型 Webshell 在磁盘上不存在恶意文件, 而是将恶意代码注入到内存中, 隐蔽性更强, 不易被安全设备发现, 且目前缺少针对内存型 Webshell 的检测技术。本文面向 Java 应用程序, 总结内存型 Webshell 的特征和原理, 构建内存型 Webshell 威胁模型, 定义了高对抗内存型 Webshell, 并提出一种基于RASP(Runtime application self-protection, 运行时应用程序自我保护)的动静态结合的高对抗内存型 Webshell 检测技术。针对用户请求, 基于 RASP 技术监测注册组件类函数和特权类函数, 获取上下文信息, 根据磁盘是否存在文件以及数据流分析技术进行动态特征检测, 在不影响应用程序正常运行的前提下, 实时地检测; 针对 JVM 中加载的类及对动态检测方法的补充, 研究基于文本特征的深度学习静态检测算法, 提升高对抗内存型 Webshell 的检测效率。实验表明, 与其他检测工具相比, 本文方法检测内存型 Webshell 效果最佳, 准确率为 96.45%, 性能消耗为 7.74%, 具有可行性, 并且根据检测结果可以准确定位到内存型Webshell 的位置。     

基于程序约束的细粒度JVM测试程序约简方法

为了对Java虚拟机(JVM)进行测试,开发人员通常需要手工设计或利用测试生成工具生成复杂的测试程序,从而检测JVM中潜在的缺陷。然而,复杂的测试程序给开发人员定位及修复缺陷带来了极高的成本。测试程序约简技术旨在保障测试程序缺陷检测能力的同时,尽可能的删减测试程序中与缺陷检测无关的代码。现有研究工作基于Delta调试在C程序和XML输入上可以取得较好的约简效果,但是在JVM测试场景中,具有复杂语法和语义依赖关系的Java测试程序约减仍存在粒度较粗、约简效果较差的问题,导致约简后的程序理解成本依然很高。因此,针对具有复杂程序依赖关系的Java测试程序,本文提出一种基于程序约束的细粒度测试程序约简方法JavaPruner。首先在语句块级别设计细粒度的代码度量方法,随后在Delta调试技术上引入语句块之间的依赖约束关系来对测试程序进行约简。以Java字节码测试程序为实验对象,通过从现有的针对JVM测试的测试程序生成工具中筛选出具有复杂依赖关系的50个测试程序作为基准数据集,并在这些数据集上验证JavaPruner的有效性。实验结果表明,JavaPruner可以有效删减Java字节码测试程序中的冗余代码。与现有方法相比,在所有基准数据集上约减能力平均可提升37.7%。同时,JavaPruner可以在保障程序有效性及缺陷检测能力的同时将Java字节码测试程序最大约简至其原有大小的1.09% ,有效降低了测试程序的分析和理解成本。     

面向大数据处理框架的JVM优化技术综述

当前,以Hadoop、Spark为代表的大数据处理框架,已经在学术界和工业界被广泛应用于大规模数据的处理和分析.这些大数据处理框架采用分布式架构,使用Java、Scala等面向对象语言编写,在集群节点上以Java虚拟机(JVM)为运行时环境执行计算任务,因此依赖JVM的自动内存管理机制来分配和回收数据对象.然而,当前的JVM并不是针对大数据处理框架的计算特征设计的,在实际运行大数据应用时经常出现垃圾回收(GC)时间长、数据对象序列化和反序列化开销大等问题.在一些大数据场景下, JVM的垃圾回收耗时甚至超过应用整体运行时间的50%,已经成为大数据处理框架的性能瓶颈和优化热点.对近年来相关领域的研究成果进行了系统性综述:(1)总结了大数据应用在JVM中运行时性能下降的原因;(2)总结了现有面向大数据处理框架的JVM优化技术,对相关优化技术进行了层次划分,并分析比较了各种方法的优化效果、适用范围、使用负担等优缺点;(3)探讨了JVM未来的优化方向,有助于进一步提升大数据处理框架的性能.     

基于非线性SVM模型的木马检测方法

针对传统木马检测方法误检率和漏检率较高的问题,提出基于非线性支持向量机(SVM)模型的木马检测方法.根据被检测程序在系统中的系统调用函数建立系统调用序列,并转换成SVM可识别的标记放入数据仓库,以供向量机提取作为特征向量.通过建立SVM分类器对被检测程序行为进行分类,从而确定被检测程序行为的异常情况,判断其足否为木马....     

基于人类记忆模型的粒子滤波鲁棒目标跟踪算法

当目标被场景中的物体或其它运动目标遮挡,或者目标姿态发生很大改变时,粒子滤波器就会失效。为解决这类问题,受人类记忆机制的启发,文中将人类记忆模型引入到粒子滤波器模板更新过程,提出一种基于记忆的粒子滤波器。每个模板都要经过瞬时记忆、短时记忆和长时记忆3个空间的传输和处理。该粒子滤波器能记住曾经出现的目标模板,从而能更快地适应目标姿态的变化。实验结果验证了该算法的有效性。     

探讨动态链接库（DLL）的后门及防御方法

随着计算机及网络技术的迅猛发展,后门对信息安全的威胁日益增加。后门的编写者调整思路把目光放到了动态链接程序库上,这样就不会有进程,不开端口等特点,也就实现了进程、端口的隐藏,所以基于DLL后门的防治和信息安全问题已成为一个值得关注的研究对象。文中介绍了该种木马程序的工作原理和功能的实现,描述了主要的API函数,并且总结了一些查杀DLL木马的方法。     

基于协议分析技术的网络入侵检测系统中DDoS攻击的方法研究

随着网络技术的发展,网络环境变得越来越复杂,对网络安全来说,单纯的防火墙技术暴露出明显的不足和弱点,包括无法解决安全后门问题,不能阻止网络内部攻击等问题。在众多的网络安全威胁中,DDoS攻击以其实施容易,破坏力度大,检测困难等特点而成为网络攻击检测与防御的重中之重。近年来,针对网络流量相关性的DDoS攻击检测方法层出不穷,文章在分析DDoS攻击检测方法的基础上,利用基于协议分析技术的网络入侵检测系统对DDoS进行研究。     

基于网格化的医学图像不规则特征提取方法

提出了一种针对不容易描述的不规则特征的提取方法:采用贝叶斯启发式学习方法提取图像的聚类变量和等价变量作为特征;用网格划分技术过滤和释放位于稠密超方格的数据项,从而有效减少内存需求、大幅度降低计算复杂度。将此方法应用于医学图像分类器中的特征提取部分,实验结果表明大大地提高了分类的准确率。     

Memory-based cognitive modeling for robust object extraction and tracking

Inspired by the way humans perceive the environment, in this paper, we propose a memory-based cognitive model for visual information processing which can imitate some cognitive functions of the human brain such as remembering, recall, forgetting, learning, classification, and recognition, etc. The proposed model includes five components: information granule, memory spaces, cognitive behaviors, rules for manipulating information among memory spaces, and decision-making processes. Three memory spaces are defined for separately storing the current, temporal and permanent information acquired, i.e. ultra short-term memory space (USTMS), short-term memory space (STMS) and long-term memory space (LTMS). The proposed memory-based model can remember or forget what the scene has ever been which helps the model adapt to the variation of the scene more quickly. We apply the model to address two hot issues in computer vision: background modeling and object tracking. A memory-based Gaussian mixture model (MGMM) for object segmentation and a memory-based template updating (MTU) model for object tracking with particle filter (PF) are exhibited respectively. Experimental results show that the proposed model can deal with scenes with sudden background and foreground changes more robustly when segmenting and tracking moving objects under complex background.     

Memory leak detection in Plumbr

Platforms with automatic memory management, such as the JVM, are usually considered free of memory leaks. However, memory leaks can happen in such environments, as the garbage collector cannot free objects, which are not used by the application anymore, but are still referenced. Such unused objects can eventually fill up the heap and crash the application. Although this problem has been studied extensively, nevertheless, there are still many rooms for improvement in this area. This paper describes the statistical approach for memory leak detection, as an alternative, along with a commercial tool, Plumbr, which is based on the method. The tool is later analyzed with three case studies of real applications and in the process also analyzes strengths and weaknesses of the statistical approach for memory leak detection. Copyright © 2014 John Wiley & Sons, Ltd.     

Providing secure execution environments with a last line of defense against Trojan circuit attacks

Integrated circuits (ICs) are often produced in foundries that lack effective security controls. In these foundries, sophisticated attackers are able to insert malicious Trojan circuits that are easily hidden in the large, complex circuitry that comprises modern ICs. These so-called Trojan circuits are capable of launching attacks directly in hardware, or, more deviously, can facilitate software attacks. Current defense against Trojan circuits consists of statistical detection techniques to find such circuits before product deployment. The fact that statistical detection can result in false negatives raises the obvious questions: can attacks be detected post-deployment, and is secure execution nonetheless possible using chips with undetected Trojan circuits? In this paper we present the Secure Heartbeat And Dual-Encryption (SHADE) architecture, a compiler–hardware solution for detecting and preventing a subset of Trojan circuit attacks in deployed systems. Two layers of hardware encryption are combined with a heartbeat of off-chip accesses to provide a secure execution environment using untrusted hardware. The SHADE system is designed to complement pre-deployment detection techniques and to add a final, last-chance layer of security.