基于模糊识别和支持向量机的联合Rootkit动态检测技术研究

 针对Rootkit恶意代码动态检测技术进行研究.总结出典型Rootkit恶意程序动态行为所调用的系统API函数.实时统计API调用序列生成元并形成特征向量,通过模糊隶属函数和模糊权向量,采用加权平均法得到模糊识别的评估结果;基于层次的多属性支持向量机分析法构建子任务;基于各个动态行为属性的汉明距离定位Rootkit的类型.提出的动态检测技术提高了自动检测Rootkit的准确率,也可以用于检测未知类型恶意代码.     

未知恶意代码族群归属决策研究

提出了恶意代码API调用函数特征集的概念.根据不同恶意代码为实现相同功能调用相同API函数的特点,给出了一种基于API调用函数集合的恶意代码特征提取方法.使用集合运算获取族群函数特征集,通过模糊聚类与熵值法计算出未知恶意代码与已知恶意代码族群的正隶属度,利用正隶属度极大原则来确定未知恶意代码归属族群,最后给出算例.该方法不需要人工干预决策,易于程序实现.     

基于调用习惯的恶意代码自动化同源判定方法

恶意代码同源判定对作者溯源、攻击事件责任判定、攻击场景还原等研究工作具有重要作用。目前恶意代码同源判定方法往往依赖人工分析,效率低下,为此,提出一种基于调用习惯的恶意代码自动化同源判定方法。该方法基于7类调用行为,使用数据挖掘算法构建作者编程习惯模型,基于频繁项离群检测算法计算同源度,利用K均值聚类算法选择同源判定阈值,进而实现恶意代码同源判定。实验结果表明,该方法具有99％以上的准确率和可接受的召回率。     

基于句柄分析的Windows Rootkit检测技术研究

作为网络入侵领域的一种新兴技术,Rootkit能隐藏入侵痕迹、阻止用户和检测软件发现恶意代码的存在,具有隐蔽性好、难以检测等特点。根据对Rootkit行为的分析,提出了一种基于句柄分析的Rootkit检测技术,该方法通过遍历内核句柄表,得到系统中运行的所有进程,再与调用API得到的进程列表对比,发现Rootkit隐藏的进程。实验证明,该方法对于Rootkit具有良好的检测效果。     

PLC控制系统入侵检测技术研究

由于PLC控制系统有别于传统的计算机网络系统,传统的病毒检测、网络入侵检测技术无法有效检测PLC控制系统攻击。设计一种非介入式的PLC控制系统入侵检测方法,采用以太网数据监听与现场控制网数据监听技术相结合的方法,通过PLC控制系统输入输出业务信息一致性检测,实现PLC恶意代码篡改数据攻击检测,通过业务规则检测实现违反业务约束的恶意控制指令检测。完成了PLC控制系统入侵检测系统开发,测试表明系统可以有效检测PLC系统的恶意代码攻击和恶意控制指令攻击。     

基于行为分析的木马检测系统设计与实现

随着近年来网络技术的飞速发展,安全问题日益突出,病毒、木马、后门程序等恶意代码层出不穷,重大经济损失事件及重要泄密事件频频发生。传统的代码检查技术主要依靠特征码,静态分析等手段,对分析者的技术要求高,效率较低,难以实现批量检查。针对这些缺点,本文提出一种基于行为分析的木马检测技术,通过记录应用程序的动态行为,综合恶意代码的API调用序列,功能性行为特征、隐藏性行为特征、Rootkit行为特征等作为判别依据,分析其恶意危害性;同时给出详细的分析报告及关键行为记录,方便对恶意代码的手动查杀及深入分析。实验表明本文提出的检测方案能够有效地检测已知或未知的恶意代码,提高木马的检测准确率和检测效率,达到预期的研究目的。     

动态代码的实时可信传递研究

 基于可信计算技术的恶意代码防范机制可以弥补传统杀毒方式对未知恶意代码防范能力的不足,但是软件自动在线升级和补丁安装会生成和调用未知的动态代码,对这些动态代码的实时可信判定问题阻碍了可信计算技术的应用普及.动态代码实时可信判定和可信传递方法(Trust Determination and Transitivity Method of Dynamic codes,TDTMD)从代码的调用环境和调用方式出发,对动态代码的来源是否可信进行判定,进而对动态代码是否可信进行判断.TDTMD可以在保证应用软件和系统的运行连续性前提下,提供对各种已知或未知恶意代码攻击的有效防范能力.TDTMD的原型系统及其实验结果表明,它对系统的运行性能影响较小,并且安全有效.     

基于可信计算技术的抗恶意代码攻击安全结构框架设计

基于可信计算技术构建的抗恶意代码攻击安全结构框架以可信计算技术为基础,融合身份认证、授权访问控制、备份恢复以及审计等多种安全控制技术构成。可信安全模块是抗恶意代码攻击的根基,可信计算技术是抗恶意代码攻击的必要条件,各种安全控制技术使抗攻击效能最大化。该框架通过各种技术的配合,建立了抵抗恶意攻击的层层防线,并且在系统遭到破坏时能及时发现并进行恢复,不仅能防范已知恶意代码,而且能防范未知恶意代码。     

一种基于系统调用异常检测的改进算法

基于系统调用的异常检测方法只能检测到攻击的发生,不能判断出攻击的性质和目的.针对这个问题,提出了一种算法(对系统调用序列和传统算法检测到的攻击进行再分析),基本思路是在训练时统计系统调用的频率信息,建立程序正常运行时的文件访问分布模型,并在系统调用的层次上提出一种攻击的分类方法,在检测时以传统的基于系统调用的异常检测方法为基础,结合训练时得到的信息,确定攻击所属的类别和攻击的优先级.实验结果表明,该方法能有效预测出攻击的性质和目的,并改善了原方法的检测率和误报率等指标.     

对抗训练驱动的恶意代码检测增强方法

为了解决恶意代码检测器对于对抗性输入检测能力的不足,提出了一种对抗训练驱动的恶意代码检测增强方法。首先,通过反编译工具对应用程序进行预处理,提取应用程序接口（API）调用特征,将其映射为二值特征向量。其次,引入沃瑟斯坦生成对抗网络,构建良性样本库,为恶意样本躲避检测器提供更加丰富的扰动组合。再次,提出了一种基于对数回溯法的扰动删减算法。将良性样本库中的样本以扰动的形式添加到恶意代码中,对添加的扰动进行二分删减,以较少的查询次数减少扰动的数量。最后,将恶意代码对抗样本标记为恶意并对检测器进行重训练,提高检测器的准确性和稳健性。实验结果表明,生成的恶意代码对抗样本可以躲避目标检测器的检测。此外,对抗训练提升了目标检测器的准确率和稳健性。     

恶意代码分析技术综述

随着全球信息化的不断推进,整个世界越来越被连成一个整体,威胁计算机系统安全的领域也越来越广泛,其中以恶意代码最为严重。而随着计算机系统安全攻击与防御技术的不断较量,恶意代码的攻击手法、攻击形式也越来越趋于隐秘化、复杂化。因此,有必要对当下的恶意代码分析技术进行总结,从中发现新的发展方向,以应对不断变化的恶意代码形势。     

一种基于综合行为特征的恶意代码识别方法

基于行为的分析方法是恶意代码检测技术的发展方向,但现有的以孤立行为特征为依据的恶意代码识别方法误报率较高,本文提出了一种基于代码综合行为特征的恶意代码检测方法-IBC-DA.该算法通过改造的攻击树模型描述恶意代码执行过程中各相关主体间的关系,在此基础上计算得到的恶意性权值能够更加准确地反映代码执行过程对系统的影响.实验表明,利用本文算法进行病毒检测具有较低漏报率和误报率,并对未知恶意代码的防范具有积极意义.     

基于Android的手机恶意代码检测与防护技术

随着通信技术以及移动终端的发展,Android系统由于其本身的开源性,滋生了大量的恶意代码。为了满足Android手机用户的安全需求,文中基于Android,采用SVM机器学习思想,构建了恶意代码检测模型,并开发了一套手机恶意代码检测与防护系统,可以对其进行快速检测和深度检测。系统经Android手机测试结果表明,其具有较好的检测精度以及较低的恶意代码漏报率。     

基于攻击树的文件风险评估方法

通过对已有文献提出的恶意代码检测方法进行分析改进,提出一种基于行为的静态分析、动态监视和攻击树匹配相结合的文件风险评估的方法。根据文件类型分别从静态和动态两个方面对文件进行分析。通过对攻击树结点间的关系和结点属性进行扩展,能够更好地匹配和描述恶意代码的各种行为。应用多属性效用理论量化结点权重,使评估更加客观准确。实验表明,该方法能够较准确的量化文件的风险程度。     

一种高效的面向虚拟桌面恶意代码检测机制简

 与传统的恶意代码检测方式相比,面向虚拟桌面的恶意代码检测方法面临着性能方面的挑战,同一物理服务器上多个虚拟桌面同时开展恶意代码检测使得磁盘等硬件成为严重的IO性能瓶颈.本文提出了一种高效的虚拟桌面恶意代码检测方案,基于母本克隆技术的虚拟桌面恶意代码检测机制（MCIDS）,MCIDS根据虚拟桌面系统的特点,通过系统映像网络存储克隆技术以及部署在网络存储系统中的恶意代码引擎减少虚拟桌面系统中的恶意代码检测范围,有效减少恶意代码检测所需的磁盘IO开销;同时MCIDS还克服了传统“Out-of-the-Box”安全检测机制存在的语义差别问题,改善了系统的安全性能.在原型系统上的实验显示该方法在技术上是可行的,与现有方法相比MCIDS具有较好的性能优势.     

基于Android的木马检测引擎的研究与实现

近几年来,Android手机木马病毒发展迅速,Android手机安全问题成为大家关注的焦点,基于Android的木马检测引擎的研究与实现变得日益迫切。为此,提出了一套特征码提取检测算法（FCPA）,FCPA通过调用Android系统库函数获取恶意文件的源路径,利用源路径找到相应文件并对文件进行散列处理,获取文件特征信息,生成一个唯一标识该木马病毒的特征值,然后构建特征码库。同时,设计并实现了木马检测引擎,其利用特征码提取算法快速扫描并检测出手机应用程序中的恶意程序。实验结果表明,该木马检测引擎能够有效检测恶意应用。     

基于纹理指纹的恶意代码变种检测方法研究

提出一种基于纹理指纹的恶意代码特征提取及检测方法,通过结合图像分析技术与恶意代码变种检测技术,将恶意代码映射为无压缩灰阶图片,基于纹理分割算法对图片进行分块,使用灰阶共生矩阵算法提取各个分块的纹理特征,并将这些纹理特征作为恶意代码的纹理指纹;然后,根据样本的纹理指纹,建立纹理指纹索引结构;检测阶段通过恶意代码纹理指纹块生成策略,采用加权综合多分段纹理指纹相似性匹配方法检测恶意代码变种和未知恶意代码;在此基础上,实现恶意代码的纹理指纹提取及检测原型系统。通过对6种恶意代码样本数据集的分析和检测,完成了对该系统的实验验证。实验结果表明,基于上述方法提取的特征具有检测速度快、精度高等特点,并且对恶意代码变种具有较好的识别能力。