一种基于指令监控的APT高级威胁检测方法

摘要

本发明公开了一种基于指令监控的APT高级威胁检测方法，通过ExKVM和虚拟机自省库LibVMI实现虚拟机在Hypervisor层级上的识别，达到在虚拟机外部监控虚拟机中恶意代码的运行情况，并使用动态离线污点分析方法来发现漏洞利用攻击；在虚拟机外部，使用#BP地址注入方法进行无入侵的用户层API监控和内核层API执行监控；通过注入Windows内核内存分配函数和内核模块结构操作函数实现内核堆分配的跟踪。通过跟踪记录恶意代码执行中内存与寄存器的写、交换和分支等指令，进行离线污点分析和恶意行为发现。本发明能有效监测APT攻击中的漏洞利用，提升了恶意样本检测率。