基于通信行為證據(jù)鏈的木馬檢測系統(tǒng).pdf

1、目前，新型木馬軟件的不斷出現(xiàn)，當前基于特征碼的防火墻和入侵檢測系統(tǒng)已經難以實現(xiàn)對新出現(xiàn)的未知木馬軟件的檢測，基于主機的行為檢測方法又難以在網絡層部署。本文提出了一種新的基于網絡連接的通信行為證據(jù)鏈的木馬軟件檢測模型DTrojan。該模型結合貝葉斯分類算法的理論和思想，首先對大量已知木馬的網絡特征進行抽象、提取和概括，形成待檢測（分類）特征項，然后通過對木馬樣本數(shù)據(jù)進行一定的訓練形成檢測引擎（即分類器）實現(xiàn)對未知木馬的檢測。
　　該

2、模型部署在整個局域網的網關處，以整個局域網的通信數(shù)據(jù)作為木馬檢測的數(shù)據(jù)基礎，針對木馬軟件在通信連接建立、數(shù)據(jù)交互、連接維持等不同階段的多個通信特征進行檢測，該檢測模型并不會通過單一的特征來判定木馬，而是會在綜合多次檢測和多個特征檢測結果來判定木馬，并會給出木馬的可疑概率供用戶參考，因此該系統(tǒng)不僅能夠對未知木馬具有良好的檢測能力，而且有著非常低的誤報率。
　　同時在此模型的基礎上實現(xiàn)了惡意軟件檢測的原型系統(tǒng)DTrojan Proto