基于专家系统的主机恶意代码行为检测系统

摘要

本发明公开了一种基于专家系统的主机恶意代码行为检测系统，包括行为捕获模块、输出规格化处理模块、推理机和行为知识库；行为捕获模块捕获系统服务调用及参数信息、驱动间通讯信息、遗留行为痕迹信息和系统关键内核数据；输出规格化处理模块将捕获到的原始数据转换为事实；行为知识库以规则的形式存储不同种类的恶意代码的主要可疑行为的专家知识；推理机接受事实，并从行为知识库中搜取匹配的知识，从而推理得出检测结果。应用本发明，能够检测具有特定行为的特征码已知或未知的恶意代码，以及采用了一些诸如多态、变形、混淆、加壳等规避技术来改变自身特征码的恶意代码，且检测率高、资源占用低、无需用户干预。