基于磁盘数据分析的Bootkit静态检测研究与实现

Bootkit这种新型恶意代码通过感染磁盘的主引导记录(MBR)或卷引导记录(VBR)来获取执行权,从而将加载时间大大提前以使常规基于动态行为分析的安全软件都不能对其进行有效检测[1]。针对Bootkit检测这一难题提出一种新型静态检测方法,设计实现相关的MBR匹配算法,并针对国内外知名的Bootkit恶意代码样本进行实验。实验结果显示此方法可以有效检测出当今主流的Bootkit恶意代码,进而证明了静态检测思路的可行性。     

UEFI Bootkit模型与分析

分析了UEFI Bootkit的工作原理和关键技术;在Harold木马模型的基础上,给出了UEFI Bootkit的形式化描述;分析了UEFI Bootkit和木马在隐蔽技术方面的差异,建立了UEFI Bootkit协同隐藏的形式化模型;给出了模型的一个应用实例,理论证明了在操作系统内核启动前检测Bootkit比在操作系统启动完成后检测具有更好的效果;开发了一套在操作系统内核加载前就开始检测的UEFI Bootkit检测系统;使用检测系统进行了实际的测试,结果表明,UEFI Bootkit检测系统具有较好的检测效果,有效地验证了模型的准确性。     

基于JTAG仿真的ARM Linux设备Bootkit检测技术研究*

ARM Linux嵌入式设备正遭受着日益严重的Bootkit威胁。针对传统检测技术对Bootkit检测的局限性,提出了一种基于JTAG的固件底层检测方法。该方法以基本块级跟踪和循环识别构成的系统跟踪优化算法为基础,利用跟踪系统的启动过程中记录到的信息,对Bootloader引导阶段和内核启动阶段进行监控,从而实现对ARM Linux嵌入式设备Bootkit的分阶段检测。实验结果表明,以跟踪优化算法为基础的Bootkit分段检测技术不仅极大提高了跟踪效率,亦有效检测出了Bootkit的存在,达到了预期效果。     

Windows Bootkit实现及其检测系统设计

作为新型的劫持系统内核技术,Windows Bootkit具有较强的隐蔽性和免杀能力,引发了严峻的计算机安全问题。通过分析研究Windows Bootkit的实现方式,并结合可信计算检测原理,设计了一种基于可信计算技术的Windows Bootkit检测系统,应用结果表明,该系统能检测出各种形式的Windows Bootkit,可有效增强Windows操作系统下计算机的安全性。     

基于PBD技术的Anti-Bootkit优先启动

Bootkit是继承自Rootkit内核权限获取和自我痕迹擦除技术的Rootkit高级发展形式,对系统启动和内核准入安全提出了最新挑战。在Bootkit入侵和Anti-Bootkit的检测的攻防对抗中,能做到优先启动往往是制胜的关键;而目前主流的Anti-Bootkit/Rootkit软件由于固守传统的启动方式,很容易被Bootkit利用固有优势绕过、劫控、篡改、移除而形同虚设。通过反汇编并跟踪调试Windows引导执行流程,反利用Bootkit入侵思想,提出了新的利用PBD(pre-bootable d     

基于磁盘隐藏PE文件搜索的Bootkit检测方法

Bootkit通过将加载时间点提前到引导阶段,能够对其操作系统下的恶意行为进行隐藏以绕过多数安全软件。为此,对Bootkit的动态行为隐藏机制进行形式化建模,扩展协同隐藏机制以揭示Bootkit高隐蔽性,并且利用大部分Bootkit在磁盘上隐藏恶意PE文件的特点,设计并实现一种PE文件匹配算法。实验结果表明,该算法在磁盘隐蔽扇区中匹配特定的模式串以寻找潜在的恶意PE文件,在针对Bootkit样本的检测中取得了较好效果。     

基于GA-BP算法的基片图像边缘检测计算机应用

由于复杂噪声信号的影响,使得对基片边缘的检测较为困难,提出了一种基于改进的GA-BP算法的边缘检测方法.首先,对基片图像进行中值滤波,将选中的样本归一化.其次,根据样本使用改进的GA-BP算法建立神经网络模型.最后根据实验对该神经网络模型中的参数进行了修正,并利用此神经网络模型对基片图像进行边缘检测取得到了较好的效果.实验结果表明,该方法具有良好的泛化性,鲁棒性和自适应性,可以提高图像边缘检测的抗噪声能力.     

基于聚类和SVDD的一类入侵检测模型

为了解决传统支持向量数据描述算法(SVDD)中样本不集中导致算法包括非己空间样本,从而形成噪声影响检测性能的问题,建立一种基于SVDD算法和聚类算法相结合的入侵检测模型.首先通过K-means算法对正常样本数据进行聚类;然后利用SVDD对聚类后的数据集合进行描述;最后利用多个判决函数对样本进行判别.实验中对核函数参数的选择进行了分析,并同其他检测算法比较,验证了该思想的正确性.     

融合比例先验和损失感知的目标检测模型的正负样本分配算法 *

针对目标检测模型在训练过程中正负样本分配时没有考虑真实框的长宽比、对物体不同分布的适应能力差等不足,提出了比例先验和损失感知的分配算法RLA。RLA不改变原有检测模型的结构,首先根据真实框的长宽比选择等比例的中心区域,然后计算锚点综合损失,考虑真实框内物体的实际分布,最后通过动态损失阈值的方式区分正负样本。该算法解决了基于IoU分配时适应性差、难以选出最佳正样本等问题,对偏心物体和长宽比悬殊物体的样本分配更加合理。与已有的样本分配算法对比,该算法在MS COCO数据集上的表现更优,比基线FCOS的AP提升1.66%;在模型结构相同时,比ATSS和PAA算法的AP分别提升了0.76%和0.24%,证明了RLA算法的有效性。     

基于增量式有限混合模型的多目标状态极大似然估计

提出了增量式有限混合模型来提取概率假设密度滤波器序贯蒙特卡罗实现方式中的多目标状态. 该模型以增量方式构建, 其混合分量采用逐个方式插入其中. 采用极大似然准则来估计多目标状态. 对于给定分量数目的混合模型, 应用期望极大化算法来获得参数的极大似然解. 在新分量插入混合模型时, 保持已有混合模型的参数不变, 仍旧采用极大似然准则从候选新分量集合中选择新插入分量. 新分量插入混合步和期望极大化算法拟合混合参数步交替应用直到混合分量数目达到概率假设密度滤波器的目标数目估计值. 利用k-d树生成插入到混合模型的新分量候选集合. 增量式有限混合模型统一了分量数目变化趋势和粒子集合似然函数的变化趋势, 有助于一步一步地搜寻混合模型的极大似然解. 仿真结果表明, 基于增量式有限混合模型的概率假设密度滤波器状态提取算法在多目标跟踪的应用中优于已有的状态提取算法.     

Windows 7安全启动技术分析

分析Windows 7中的安全启动技术,研究基于可信计算的BitLocker驱动器加密的启动流程。针对实现过程中存在的BitLocker、Bootmgr安全隐患,设计BitLocker、Bootmgr绕过方案以及地址空间格局随机化的应对方案,验证了Windows 7的安全启动保护措施仍可能被Bootkit等恶意软件攻破。     

针对WSN的DDoS攻击的改进概率包标记算法研究*

当无线传感器网络（WSN）遭受分布式拒绝服务（DDoS）攻击时,攻击者会传送大量攻击数据包到受害主机,使其迅速消耗资源而无法正常运作,最终造成网络瘫痪。为了检测针对资源有限的WSN的DDoS攻击,基于传统网络的概率包标记算法提出一个改进概率包标记算法,使其适应在WSN中检测DDoS攻击。改进的算法减少了重建攻击路径所需的攻击数据包,从而减少WSN的资源消耗,弥补了WSN资源有限的缺陷。     

一种新型大规模分布式拒绝服务检测模型研究

将基于HOPCOUNT的异常数据包过滤技术引入到TaoPeng等人提出的检测方法中,提出了一个新型的DDoS攻击的检测模型.通过判定算法,该模型能够较为准确的区分出正常通信量和异常通信量,并在此基础上,运用CUSUM算法监测两个特征量,实现了DDoS攻击检测.此外,本文将Bloom Filter算法引入到数据库的查找过程中,提高了检测的性能以及检测模型自身的安全性.实验结果证明,该检测模型能够以较高的精确度及时的检测出DDoS攻击行为.     

基于改进单类支持向量机的工业控制网络入侵检测方法

针对单类支持向量机（OCSVM）入侵检测方法无法检测内部异常点和离群点导致决策函数偏离训练样本的问题,提出了一种结合具有噪声的密度聚类（DBSCAN）方法和K-means方法的OCSVM异常入侵检测算法。首先通过DBSCAN算法,剔除训练数据中的离群点,消除离群点的影响;然后利用K-means划分数据类簇的方法筛选出内部异常点;最后利用OCSVM算法为每一个类簇建立单分类器用于检测异常数据。工控网络数据集上的实验结果表明,该组合分类器能够利用无异常数据样本检测出工控网络入侵,并且提高了OCSVM方法的检测效果。在气体管道网络数据集入侵检测实验中,所提方法的总体检测率为91.81%;而原始OCSVM算法则为80.77%。     

Dynamic emulation based modeling and detection of polymorphic shellcode at the network level

It is a promising way to detect polymorphic shellcode using emulation method. However, previous emulation-based approaches are limited in their performance and resilience against evasions. A new enhanced emulation-based detection approach is proposed, including an automaton-based model of the dynamic behavior of polymorphic shellcode and a detection algorithm, the detection criterion of which is derived from that model and ensures high detection accuracy. The algorithm also contains several optimization techniques, highly improving the running performance and the resilience against detection evasion shellcode. We have implemented a prototype system for our approach. The advantages of our algorithm are validated by the experiments with real network data, polymorphic shellcode samples generated by available polymorphic engines and hand-crafted detection evasion shellcode.     

SDN环境下的DDoS检测与缓解机制

软件定义网络(Software-defined Network,SDN)以可编程的形式定义路由,对传统网络架构进行了一次彻底颠覆.通过采用中心化的拓扑结构,SDN有效实现了对网络基础设施的全局控制.然而这种中心化的拓扑极易受到网络攻击的威胁,如分布式拒绝服务攻击(Distributed Denial of Servic...     

基于目标代码的格式串漏洞检测模型研究

当前有关格式串漏洞的检测技术大多局限于源代码层次,针对二进制文件的研究较少。以格式串栈指针和参数栈指针为切入点,分析研究了格式串漏洞的攻击原理,在目标代码的层次提出了一种新的格式串漏洞检测技术,给出了构造攻击代码的具体方法,重点研究了不同系统中攻击代码的构建过程,最后结合实例对检测方法进行了验证。通过与实例源代码的比较,充分证明了检测方法的有效性,具有重要的应用价值。