信息系统恶意代码检测关键技术研究

摘要

随着国家信息技术的快速发展和综合国力的提升，商业秘密信息和国家秘密信息成为了窃密者的重要攻击对象。由于信息系统外部软硬件国产化进程还无法适应当前的技术发展和需要，因而为窃密者提供了大量的可利用的系统漏洞和攻击途径，其中，以恶意代码为典型代表的攻击方式在信息系统内屡见不鲜，且攻击方式不断优化。对于这些恶意代码，一旦无法及时检测和清除，轻者破坏信息系统的部分功能和应用环境，重者则直接窃取敏感的涉密信息，给国家安全和经济建设造成严重的损失。为此，恶意代码检测技术已成为我国政府、军队和科研院所重点关注的研究问题。
　　虽然人们对恶意代码特征以及信息系统安全防护等相关技术进行了长期研究，提出了各类有效技术及机制并试图解决信息系统内恶意代码检测与清除研究中所遇到的各类安全问题，但这些技术并没有很好地适应信息系统的综合环境和特性。
　　本文以信息系统内恶意代码基本特征为研究对象，以信息系统安全为研究内容，从恶意代码检测的实用角度出发，深入研究了可适应信息系统环境，具有特殊攻击性、潜伏性等特点的恶意代码行为方式，并提出了综合性的恶意代码检测方法。
　　首先，以信息系统为例，应用程序、进程和服务比较单一，特别是文件、网络、注册表等访问行为。为此，针对恶意代码善于伪装以及添加无序行为的方式来逃避检测的情况，提出了运用齐次隐马尔可夫模型提高判断恶意行为准确性的方法。该方法通过对于危险行为特征的概率计算，能够准确地识别恶意代码程序加壳以及无序干扰的伪装方式，提高信息系统环境恶意代码的检测率。
　　其次，在信息系统中，为了混淆恶意特征以及行为，恶意代码往往会通过变种的方式，为此，提出了基于启发式的恶意代码检测方法，通过静态的行为特征，按照特征的判别熵进行特征精简，来比较所有与正常样本存在差异的样本。对于通过采用自修改代码技术隐藏自身逻辑的恶意代码，提出了使用虚拟机技术新生恶意代码位置的方法，并调用静态检测部分进行检测，达到检测自修改代码未知恶意代码的目的。
　　最后，在信息系统中，恶意代码最显著的特征是自身隐蔽性，为了达到事前预防的最佳效果，提出了基于主机检测的恶意代码检测方法，获取常规情况下系统服务或应用程序对象对系统函数的调用层次树，将实时情况下检测得到的调用层次树与常规模式下的调用层次树进行相似度比较，当相似度超出阈值，则判定目前函数的调用行为是恶意的。特别对于利用一些常见应用程序漏洞，而植入恶意代码的可疑目标，能够实现主动发现，并主动诱使恶意代码进行攻击，进而实现检测。

目录

声明

摘要

第1章 绪论

1．1 研究背景及意义

1．2 国内外研究现状

1．2．1 基于特征的检测技术

1．2．2 动态检测技术

1．2．3 蜜网检测系统

1．2．4 其他相关技术

1．3 论文的主要工作

1．4 论文的组织结构

第2章 恶意代码研究概述

2．1 恶意代码概述

2．2 恶意代码运行机理

2．2．1 病毒工作原理

2．2．2 木马运行机理

2．2．3 Rootkit运行机理

2．2．4 恶意代码传播特点

2．3 恶意代码攻击技术

2．4 恶意代码检测与分析

2．4．1 行为的检测

2．4．2 服务监控

2．4．3 通讯检测

2．5 恶意代码自我保护技术

2．6 本章小结

第3章 基于隐马尔科夫模型的恶意代码检测方法

3．1 马尔科夫模型的基本概念

3．2 行为的恶意度测算方法

3．3 算法优化策略与分析

3．4 检测流程的设计与分析

3．5 实验验证与分析

3．5．1 模型性能测试与分析

3．5．2 Rootkit代码测试

3．5．3 信息系统应用测试

3．6 本章小结

第4章 基于启发式特征的恶意代码检测技术

4．1 问题的提出

4．2 文件驱动过滤技术

4．3 启发式特征提取策略

4．3．1 基于贝叶斯后验概率的特征精简

4．3．2 基于SVM距离加权的特征分类

4．4 检测模型的设计与实现

4．4．1 模型体系结构设计

4．4．2 静态启发式检测模型

4．4．3 启发式检测引擎

4．4．4 检测规则定义

4．4．5 动态启发式检测模型

4．5 实验验证与分析

4．5．1 实验环境

4．5．2 分类算法K值的讨论

4．5．3 检测工具的对比分析

4．5．4 变形恶意代码的测试分析

4．5．5 信息系统应用测试

4．5．6 数字地图结构化文件测试

4．6 本章小结

第5章 基于主机的恶意代码检测技术

5．1 问题的提出

5．2 动态分析技术

5．3 基于层次树的疑似行为检测

5．3．1 层次树的定义

5．3．2 相似度计算

5．3．3 检测算法

5．4 基于主机的检测模型

5．5 实验分析与讨论

5．5．1 实验环境与设置

5．5．2 恶意文档结构分析

5．5．3 实验结果及分析

5．5．4 图片类恶意代码测试

5．6 本章小结

结论

参考文献

攻读博士学位期间发表的论文和取得的科研成果

致谢