基于行為監(jiān)控的病毒程序自動(dòng)化鑒定平臺(tái)設(shè)計(jì)與實(shí)現(xiàn).pdf

1、目前殺毒軟件針對病毒程序的鑒定方法上，基于文件特征碼的查殺方法依然占據(jù)主要地位，但隨著計(jì)算機(jī)技術(shù)的發(fā)展和灰色產(chǎn)業(yè)鏈的成熟和壯大，病毒程序和數(shù)量呈現(xiàn)出大幅增加的態(tài)勢，病毒程序的設(shè)計(jì)和技術(shù)水平也逐漸復(fù)雜化和專業(yè)化?；谖募卣鞔a的病毒查殺技術(shù)，其前提是首先提取到病毒文件，具有一定的滯后性。且針對大批量的未知樣本進(jìn)行特征碼分析和提取，需要投入大量的人力和物力。往往是不現(xiàn)實(shí)的。所以今年來，許多病毒程序研究人員提出了自動(dòng)化鑒定的理論。
　　

2、在經(jīng)過一段時(shí)間的探索之后，主流的病毒程序自動(dòng)化鑒定技術(shù)有主要有兩種，一是基于沙盒的病毒樣本自動(dòng)化分析技術(shù):通過模擬計(jì)算機(jī)指定，搭建虛擬的文件系統(tǒng)和內(nèi)存系統(tǒng)，針對主要行為做重定向。并通過病毒程序的指令流和數(shù)據(jù)流進(jìn)行樣本鑒定。二是，基于蜜罐理論的病毒樣本自動(dòng)化鑒定技術(shù)：通過在真實(shí)的操作系統(tǒng)上安裝監(jiān)控程序，誘導(dǎo)病毒樣本執(zhí)行惡意操縱，達(dá)到鑒定目的。
　　由于基于沙盒理論的樣本鑒定技術(shù)實(shí)現(xiàn)成本較高，且由于指令模擬的局限性和運(yùn)行環(huán)境的仿真效果

3、差等原因主要使用于反病毒引擎內(nèi)部作為本地鑒定的輔助。固在后臺(tái)自動(dòng)化鑒定中主要使用基于蜜罐理論的病毒樣本鑒定化技術(shù)。本文對傳統(tǒng)的蜜罐技術(shù)進(jìn)行了改良，通過虛擬化技術(shù)，在硬件環(huán)境中同時(shí)創(chuàng)建多個(gè)蜜罐仿真環(huán)境，大大提高了資源的利用效率。在此基礎(chǔ)上通過行為監(jiān)控和基于鑒定規(guī)則和動(dòng)態(tài)權(quán)值的鑒定方法達(dá)到樣本鑒定的效果。主要完成了以下工作：
　　首先，本文通過對大量樣本的研究和對相關(guān)參考文獻(xiàn)的學(xué)習(xí)，對病毒程序的主要操作行為進(jìn)行了總結(jié)和提取。