虛擬環(huán)境“數(shù)字腳印”提取與惡意行為分析技術(shù)研究.pdf

1、隨著虛擬化技術(shù)的迅猛發(fā)展，越來越多的企業(yè)、高校、政府的業(yè)務(wù)應(yīng)用轉(zhuǎn)移至虛擬環(huán)境中。虛擬化技術(shù)應(yīng)用業(yè)務(wù)的激增，針對(duì)虛擬環(huán)境的網(wǎng)絡(luò)攻擊也日漸劇增。這些針對(duì)虛擬環(huán)境的攻擊活動(dòng)，對(duì)國家、企業(yè)的經(jīng)濟(jì)及安全等造成嚴(yán)重威脅。而虛擬環(huán)境網(wǎng)絡(luò)攻擊技術(shù)的隱蔽化（如:反取證技術(shù)），使傳統(tǒng)內(nèi)存取證技術(shù)不能有效應(yīng)對(duì)虛擬環(huán)境下的取證工作。因此研究虛擬環(huán)境內(nèi)存證據(jù)無損提取，惡意軟件攻擊行為還原，對(duì)幫助政法機(jī)關(guān)完成事后證據(jù)重建，打擊網(wǎng)絡(luò)犯罪意義重大。
　　本文研究

2、并實(shí)現(xiàn)虛擬環(huán)境內(nèi)存取證專用系統(tǒng)，主要包含以下三個(gè)創(chuàng)新點(diǎn)。第一，本文提出針對(duì)VMware虛擬環(huán)境的內(nèi)存取證模型，該模型改進(jìn)了已有內(nèi)存取證模型的取證流程，具有取證過程可重復(fù)、內(nèi)存獲取準(zhǔn)確性高、取證效率高、抗干擾性強(qiáng)等優(yōu)點(diǎn)。第二，本文提出虛擬環(huán)境“數(shù)字腳印”，將傳統(tǒng)內(nèi)存取證提取的數(shù)字特征定義為“數(shù)字紋路”，其在時(shí)間序列上構(gòu)成的動(dòng)態(tài)行為特征定義為“數(shù)字腳印”，比傳統(tǒng)“數(shù)字紋路”捕獲的行為信息更全面。第三，本文提出改進(jìn)的K-means惡意進(jìn)程多源

3、關(guān)聯(lián)性分析算法，該算法把進(jìn)程關(guān)系擴(kuò)展到父子、名稱、時(shí)間、文件、通信、賬戶六元關(guān)系，六元關(guān)系關(guān)聯(lián)度代替?zhèn)鹘y(tǒng)K-means算法的余弦距離，惡意進(jìn)程初始化規(guī)則代替?zhèn)鹘y(tǒng)K-means算法隨機(jī)初始化，具有穩(wěn)定性高、關(guān)聯(lián)完整性高等優(yōu)點(diǎn)。本文通過研究虛擬環(huán)境內(nèi)存管理與地址轉(zhuǎn)換機(jī)制，重構(gòu)內(nèi)存易失性數(shù)據(jù)，完成虛擬環(huán)境“數(shù)字腳印”提取、惡意行為檢測、惡意進(jìn)程關(guān)聯(lián)性分析，最終實(shí)現(xiàn)惡意軟件行為重建，滿足政法機(jī)關(guān)在業(yè)務(wù)應(yīng)用、深度分析、線索追蹤等方面的業(yè)務(wù)需求。<