Linux木马检测技术分析与系统调用权限验证法

在分析Linux木马机理的基础上,给出了Linux下木马的各种检测方法。提出了一种可检测未知木马的验证系统调用权限的linux木马检测方法——系统调用权限验证法。     

Android系统隐藏技术及检测方法

Android木马通过获取系统root权限,修改内核表项实现隐藏功能,进而躲避木马查杀软件的检测。因此研究An-droid系统隐藏技术对于发现隐藏木马、提高查杀软件的检测能力有重要意义。文中在传统Linux系统隐藏技术的基础上,对Android系统服务启动过程进行分析,探究出适用于Android系统的隐藏方法,并实现了一种Android Rootkit木马原型,用于测试现有木马检测软件对该类型木马的检测能力。文中提出了针对此类Rootkit型木马的检测方法,实验证明这些方法对检测此类木马有一定的作用。     

人工免疫在未知木马检测中的应用研究*

针对传统木马检测技术比较被动这一缺陷,提出一种基于人工免疫原理的木马检测方法。利用人工免疫具有自适应以及免疫学习能力的特点,将人工免疫原理应用到木马检测中。分析了数据来源特征,给出了计算抗体与抗原或抗体与抗体之间相似度以及抗体的适应度公式,建立了一个木马检测系统模型;实验测试了利用人工免疫的方式检测木马能有效提高木马检测的检测率,减少误报率。     

一种新的Windows木马检测方法研究

针对目前木马病毒种类多、检测难度大、隐蔽功能强等难点,在研究Windows系统下木马程序特点以及生物免疫机制的基础上,考虑到人体免疫机制与木马检测机制的相似性,提出一种基于免疫的木马检测方法,设计了基于免疲的木马检测模型,提出了改进的否定选择算法中的检测器产生算法EV-Detector,并将其用于木马检测.实验结果表明,相比同类方法,基于EV-Detector的否定选择算法EVD-NSA在检测木马方面有着较高的检测率与较低的误报率,能够有效地检测出Windows系统下新颖未知木马程序.     

面向FPGA应用的硬件木马植入与检测技术研究

近年来,FPGA的应用愈加广泛。为确保FPGA中数据安全可信,在基于环形振荡器的硬件木马检测方法之上,提出一种在Altera FPGA中使用增量编译技术实现环形振荡器和木马植入的方法以及使用归一化差值算法发现并定位木马的数据分析方法。设计基于环形振荡器的硬件木马检测电路,根据系统规模共部署6级振荡环,每级环形振荡器由121个与非门构成。根据木马电路类型和功耗来源,在电路中依次植入四种典型硬件木马,使用归一化差值算法分析环形振荡器振荡频率,最终实现所有类型的木马定位与检测。检测结果表明,基于环形振荡器的硬件木马检测方法在FPGA中具有很好的木马检出效果,不仅能够检测具有较大动态功耗的木马,也可以完成对具有很小的静态功耗木马的检测。所提出的方法已经在实际FPGA工程中使用,为及时发现木马提供了一种有效途径。     

基于网络通信指纹的启发式木马识别系统

对比传统木马检测技术的原理及特点,根据网络数据流检测木马的需求,提出一种基于网络通信特征分析的木马识别方法。引入通信指纹的概念扩展通信特征的外延,用实验方法归纳木马在连接、控制和文件传输阶段表现出的通信指纹信息,设计并实现一个启发式木马网络通信指纹识别系统。测试结果表明,该系统运行高效、检测结果准确。     

硬件木马防护技术研究

对硬件木马防护技术进行了深入研究,提出一种新的硬件木马防护分类方法,系统全面地介绍了近年来主流的预防与检测技术,并通过分析比对,给出各方法的特点和存在的问题。最后,提出新的防护技术设计思路,对未来研究方向和趋势进行了展望,并给出了基于木马库的硬件木马检测技术设计思路。     

基于心跳行为分析的木马快速检测方法

基于通信行为分析的木马检测算法的计算复杂度较高。为此,提出一种基于心跳行为分析的木马快速检测方法,通过对木马通信中心跳行为的描述,选取2个会话特征对木马通信流与正常通信流进行分类,基于该方法设计一个木马快速检测系统TRDS。实验结果表明,TRDS能够在百兆线速网络中快速有效地检测出木马通信。     

网络窃密木马的自适应检测模型研究

以窃密木马的网络通信行为为研究对象, 旨在建立具备自适应动态反馈学习能力的窃密木马检测系统。为实现具备自适应反馈能力的窃密木马检测系统, 研究了网络数据流及窃密木马通信数据流的特征, 引入基于增量学习的支持向量机分类算法, 提出了增量学习样本的构建方法, 建立动态反馈木马检测模型, 设计并实现了具备自适应能力的窃密木马检测系统。真实网络环境下的实验结果验证了系统的有效性和高效性。当网络环境发生变化时, 系统体现了良好的适应性。     

通过注册表监控实现木马检测

提出一种基于挂接系统服务的木马检测技术,通过对注册表进行实时监控,有效地实现了对已知和未知木马的检测。传统的基于特征码的检测技术,只能检测已知的特洛伊木马,基于挂接系统服务的技术,有效克服了上述缺陷,试验结果证明了其有效性和准确性。     

基于Linux的未知木马检测系统研究及实现

针对传统木马检测方法对未知木马识别能力低下的缺陷,结合行为监控和人工免疫学,建立并实现了一个基于Linux的未知木马检测系统。该系统具备自主检测和自学习功能,结合内容检测,利用网络监控检测局域网内部计算机的木马存在情况。实验测试表明,该系统降低了检测的漏报率,具有良好的检测效果。     

基于动静特征加权的木马检测系统

传统木马检测方法的漏报率较高。为此,结合木马的动态特征与静态特征,设计并实现一个基于动静特征加权的木马检测系统。研究木马工作机制,建立自定义的木马特征库,介绍木马检测思路和系统工作逻辑,分析木马特征的提取过程,并给出权值分配方法。实验结果表明,该系统的检测准确率较高。     

采用行为分析的单机木马防护系统设计与实现

针对基于特征代码的静态木马检测技术的不足,通过实时监控程序的可疑行为,运用贝叶斯算法分析程序行为特征进而发现木马程序,并对恶意木马程序的非授权操作进行修复,设计并实现了一个基于行为分析的单机木马防护系统。实验表明：该木马防护系统在对检测率影响较小的前提下,显著降低了误报率。     

Providing secure execution environments with a last line of defense against Trojan circuit attacks

Integrated circuits (ICs) are often produced in foundries that lack effective security controls. In these foundries, sophisticated attackers are able to insert malicious Trojan circuits that are easily hidden in the large, complex circuitry that comprises modern ICs. These so-called Trojan circuits are capable of launching attacks directly in hardware, or, more deviously, can facilitate software attacks. Current defense against Trojan circuits consists of statistical detection techniques to find such circuits before product deployment. The fact that statistical detection can result in false negatives raises the obvious questions: can attacks be detected post-deployment, and is secure execution nonetheless possible using chips with undetected Trojan circuits? In this paper we present the Secure Heartbeat And Dual-Encryption (SHADE) architecture, a compiler–hardware solution for detecting and preventing a subset of Trojan circuit attacks in deployed systems. Two layers of hardware encryption are combined with a heartbeat of off-chip accesses to provide a secure execution environment using untrusted hardware. The SHADE system is designed to complement pre-deployment detection techniques and to add a final, last-chance layer of security.     

一种基于电磁旁路分析的硬件木马检测方法

为探究利用电磁辐射旁路信号检测集成电路芯片中硬件木马的可行性,分析了芯片电磁旁路信号的组成,构建了信号泄漏模型。在阐释霍特林（K-L）变换原理及特点的基础上,提出了利用K-L变换对芯片电磁辐射旁路信号进行信号特征提取的方法,分析含硬件木马芯片（木马芯片）与不含硬件木马芯片（原始芯片）对应特征信号的差异来检测芯片中是否含有硬件木马。通过在针对基于FPGA密码芯片中植入硬件木马并进行对比检测实验的结果表明,利用上述方法能有效分辨出木马芯片与原始芯片所泄漏电磁信号间的差异,达到检测出芯片中硬件木马的目的。     

自主式学习的木马检测预防系统的设计与实现

随着黑客攻击技术的不断进步,网络安全面临越来越严重的威胁。由于不能确保系统不被黑客攻击,也无法确定用户操作的文件或程序是否含有恶意的代码,因而,及时发现系统中存在的木马程序或者含有恶意代码的文件,是确保系统信息安全的重要途径。目前的许多木马检测软件仅能对已知的木马进行检测,对未知木马却无可奈何。文章在分析和综合当前木马检测技术的基础上,设计并实现了一个在Windows系统中行之有效的木马检测系统,不仅能有效检测已知的木马,还能对未知的木马进行有效的预防,通过对未知木马的特征进行自主式学习,并应用于检测,从而提高木马检测的功能。     

基于网络驱动技术的木马通信检测系统

为提高木马程序的网络通信检测率,在比较各种包截获技术优缺点的基础上,设计并实现一种基于NDIS Hook驱动的木马通信检测系统,给出主要模块和数据结构,提出基于网络通信行为分析技术的木马通信识别模型。测试结果表明,该模型能降低误报率和漏报率,可截获所有网络通信数据包,识别新的木马通信。