基于接觸跟蹤的惡意軟件傳播檢測方法及應(yīng)用研究.pdf

1、隨著計算機(jī)網(wǎng)絡(luò)的廣泛應(yīng)用，網(wǎng)絡(luò)安全問題越來越得到用戶和管理者的重視。惡意軟件的傳播，不僅占用感染主機(jī)的大部分系統(tǒng)資源，對系統(tǒng)造成破壞；同時還會搶占網(wǎng)絡(luò)帶寬，造成網(wǎng)絡(luò)堵塞，對于惡意軟件的研究已經(jīng)成為近年來國內(nèi)外在網(wǎng)絡(luò)安全和信息安全領(lǐng)域的研究熱點(diǎn)之一。為了檢測未知的惡意軟件，論文分析惡意軟件的行為特征，提出了一種基于接觸跟蹤的惡意軟件傳播檢測方法，主要工作及成果如下：
　　 ①借鑒醫(yī)學(xué)中病毒傳播的特性，提出了基于“單點(diǎn)檢測-多點(diǎn)跟蹤

2、”模式的接觸跟蹤檢測算法。針對單一行為特征檢測誤報率較大的問題，提出了一種基于多特征模式歸類的單點(diǎn)檢測算法，對提取的多個特征分別應(yīng)用基于差分熵定律的檢測算法，最后利用EWMA算法實(shí)現(xiàn)多特征融合，采用多特征融合技術(shù)能夠更有效地提取屬于惡意軟件特有的行為特征組合，減小系統(tǒng)誤報率。為了預(yù)先區(qū)分正常數(shù)據(jù)流量和異常數(shù)據(jù)流量，采用了卡爾曼濾波的方法實(shí)現(xiàn)對正常數(shù)據(jù)流量的預(yù)測，在已知原始數(shù)據(jù)流量的情況下，計算得到異常數(shù)據(jù)流量預(yù)測值。為滿足不同網(wǎng)絡(luò)環(huán)境下

3、對檢測精度和檢測速度的要求，提出了三種跟蹤算法：簡單跟蹤算法，最優(yōu)路徑跟蹤算法和因果跟蹤鏈算法，實(shí)現(xiàn)對可疑節(jié)點(diǎn)的異常連接行為特征的跟蹤。仿真實(shí)驗(yàn)表明，多點(diǎn)跟蹤模式能夠減小單點(diǎn)檢測產(chǎn)生的誤報率。
　　 ②提出了基于動態(tài)累計異常行為特征檢測算法。分析基本累計異常行為特征檢測算法檢測精度和時間窗口T的關(guān)系，采用了動態(tài)時間窗口的優(yōu)化措施，弱化了時間窗口對于檢測范圍的限制，有效地降低了時間窗口寬度的不同對檢測結(jié)果造成的影響。針對現(xiàn)有的基本

4、算法對瞬時異?，F(xiàn)象的敏感性高的問題，提出了相似度計算結(jié)合熵定律的優(yōu)化算法，降低檢測算法對瞬時異常現(xiàn)象的敏感度。為了實(shí)現(xiàn)系統(tǒng)參數(shù)對于動態(tài)網(wǎng)絡(luò)環(huán)境的自適應(yīng)調(diào)整，提出了將誤報率和漏檢率折中尋求“最佳檢測點(diǎn)”的優(yōu)化算法，利用計算的每個時刻代價函數(shù)最小值改變參數(shù)值的大小，達(dá)到動態(tài)調(diào)整系統(tǒng)參數(shù)的目的。仿真實(shí)驗(yàn)表明，優(yōu)化以后的檢測算法更能夠有效地適應(yīng)網(wǎng)絡(luò)的動態(tài)變化，減小檢測系統(tǒng)的誤差。
　　 ③提出了利用跟蹤樹實(shí)現(xiàn)對P2P文件分享系統(tǒng)中污染文

5、件傳播的檢測機(jī)制。針對普遍采用的“聲譽(yù)度檢測機(jī)制”容易被虛假聲譽(yù)評價破壞的不足，利用跟蹤樹算法提高聲譽(yù)度的可信度，從而提高污染文件檢測的準(zhǔn)確度；針對文件分享系統(tǒng)可能出現(xiàn)的DDOS攻擊，提出了“軟隔離”結(jié)合“分散攻擊”的防御策略，減小了大量節(jié)點(diǎn)在同一時刻連接到少數(shù)節(jié)點(diǎn)的可能性。
　　 ④提出了改進(jìn)的多參數(shù)蠕蟲傳播模型，分別考慮了時間參數(shù)和對抗參數(shù)對于蠕蟲傳播的影響，與傳統(tǒng)的蠕蟲傳播模型相比較，多參數(shù)蠕蟲傳播模型更能夠真實(shí)地反映真實(shí)