基于非包還原的惡意代碼檢測技術(shù)研究.pdf

1、在面對單個對象文件時,基于主機的檢測系統(tǒng)擁有著更強的檢測能力,可是每臺檢測設(shè)備的安裝運行的開銷和成本過于高昂,不便于在網(wǎng)絡(luò)環(huán)境中大量布置,所以在實際的應(yīng)用當中,基于網(wǎng)絡(luò)的檢測系統(tǒng)擁有更加廣泛的應(yīng)用場景,可部署到更多的網(wǎng)絡(luò)節(jié)點之上,基于這種情況,針對網(wǎng)絡(luò)惡意代碼檢測系統(tǒng),提升其單臺設(shè)備的檢測能力能夠使系統(tǒng)在面對惡意代碼入侵時作出更好的表現(xiàn),在網(wǎng)絡(luò)安全防御的領(lǐng)域達到更佳的性能。基于網(wǎng)絡(luò)的惡意代碼檢測系統(tǒng)有著數(shù)量繁多的前端檢測設(shè)備,但是他們卻

2、相對低端,單臺成本較低,無法像主機檢測一樣將在網(wǎng)絡(luò)中捕獲到的通信數(shù)據(jù)流進行還原,就算行,也費時費力,一旦處理速度跟不上網(wǎng)絡(luò)流量,就會丟失大量的已截取到的數(shù)據(jù)包。
　　現(xiàn)在的網(wǎng)絡(luò)級惡意代碼檢測系統(tǒng)只能針對行為規(guī)則模式進行匹配,所探測的攻擊內(nèi)容要么是已經(jīng)種植在網(wǎng)段內(nèi)的惡意軟件的惡意行為,要么就是外網(wǎng)向內(nèi)網(wǎng)的攻擊行為,和主機檢測一樣不能對病毒種植過程做出反應(yīng)。如果能結(jié)合二者優(yōu)點,將主機能對文件進行檢測的功能應(yīng)用到網(wǎng)絡(luò)檢測對網(wǎng)絡(luò)數(shù)據(jù)包的分

3、析當中,就能實現(xiàn)對病毒種植過程的探測。
　　前面提到前端設(shè)備因為自身局限不能進行數(shù)據(jù)還原,因此如果能讓檢測系統(tǒng)的前端主機在能夠不重組數(shù)據(jù)包就檢測出數(shù)據(jù)包是否為惡意代碼有著重大的意義,在不進行數(shù)據(jù)包還原的前提條件下,利用直接對單包的內(nèi)容進行特征匹配進而對可疑的數(shù)據(jù)包產(chǎn)生告警信息,可以顯著增強基于網(wǎng)絡(luò)的惡意代碼檢測系統(tǒng)前端主機的檢測能力,最終達到在病毒傳播過程中就能探測到異常的目的。
　　實現(xiàn)該方案最關(guān)鍵的技術(shù)難點在于如何設(shè)計出

4、適用于基于非包還原的惡意代碼檢測技術(shù)的特征碼掃描檢測引擎,一套特征碼掃描檢測引擎包括特征碼選取,構(gòu)建特征庫,實現(xiàn)高效的特征匹配算法等關(guān)鍵點。雖然目前已有多種相關(guān)特征碼掃描的全套技術(shù),但是應(yīng)用場景都是基于主機的惡意代碼檢測系統(tǒng),這些技術(shù)普遍選取特征碼較長,匹配精確但并不太要求匹配速度,若是將這些技術(shù)生搬硬套,將導致在網(wǎng)絡(luò)環(huán)境中特征碼容易被截斷,匹配效率不夠令系統(tǒng)丟棄大量數(shù)據(jù)包等問題。本文會將研究重心放在設(shè)計實現(xiàn)適用于基于非包還原的惡意代碼