基于接觸跟蹤的惡意軟件傳播檢測(cè)方法及應(yīng)用研究.pdf

1、隨著計(jì)算機(jī)網(wǎng)絡(luò)的廣泛應(yīng)用，網(wǎng)絡(luò)安全問(wèn)題越來(lái)越得到用戶和管理者的重視。惡意軟件的傳播，不僅占用感染主機(jī)的大部分系統(tǒng)資源，對(duì)系統(tǒng)造成破壞；同時(shí)還會(huì)搶占網(wǎng)絡(luò)帶寬，造成網(wǎng)絡(luò)堵塞，對(duì)于惡意軟件的研究已經(jīng)成為近年來(lái)國(guó)內(nèi)外在網(wǎng)絡(luò)安全和信息安全領(lǐng)域的研究熱點(diǎn)之一。為了檢測(cè)未知的惡意軟件，論文分析惡意軟件的行為特征，提出了一種基于接觸跟蹤的惡意軟件傳播檢測(cè)方法，主要工作及成果如下：
　　 ①借鑒醫(yī)學(xué)中病毒傳播的特性，提出了基于“單點(diǎn)檢測(cè)-多點(diǎn)跟蹤

2、”模式的接觸跟蹤檢測(cè)算法。針對(duì)單一行為特征檢測(cè)誤報(bào)率較大的問(wèn)題，提出了一種基于多特征模式歸類的單點(diǎn)檢測(cè)算法，對(duì)提取的多個(gè)特征分別應(yīng)用基于差分熵定律的檢測(cè)算法，最后利用EWMA算法實(shí)現(xiàn)多特征融合，采用多特征融合技術(shù)能夠更有效地提取屬于惡意軟件特有的行為特征組合，減小系統(tǒng)誤報(bào)率。為了預(yù)先區(qū)分正常數(shù)據(jù)流量和異常數(shù)據(jù)流量，采用了卡爾曼濾波的方法實(shí)現(xiàn)對(duì)正常數(shù)據(jù)流量的預(yù)測(cè)，在已知原始數(shù)據(jù)流量的情況下，計(jì)算得到異常數(shù)據(jù)流量預(yù)測(cè)值。為滿足不同網(wǎng)絡(luò)環(huán)境下

3、對(duì)檢測(cè)精度和檢測(cè)速度的要求，提出了三種跟蹤算法：簡(jiǎn)單跟蹤算法，最優(yōu)路徑跟蹤算法和因果跟蹤鏈算法，實(shí)現(xiàn)對(duì)可疑節(jié)點(diǎn)的異常連接行為特征的跟蹤。仿真實(shí)驗(yàn)表明，多點(diǎn)跟蹤模式能夠減小單點(diǎn)檢測(cè)產(chǎn)生的誤報(bào)率。
　　 ②提出了基于動(dòng)態(tài)累計(jì)異常行為特征檢測(cè)算法。分析基本累計(jì)異常行為特征檢測(cè)算法檢測(cè)精度和時(shí)間窗口T的關(guān)系，采用了動(dòng)態(tài)時(shí)間窗口的優(yōu)化措施，弱化了時(shí)間窗口對(duì)于檢測(cè)范圍的限制，有效地降低了時(shí)間窗口寬度的不同對(duì)檢測(cè)結(jié)果造成的影響。針對(duì)現(xiàn)有的基本

4、算法對(duì)瞬時(shí)異?，F(xiàn)象的敏感性高的問(wèn)題，提出了相似度計(jì)算結(jié)合熵定律的優(yōu)化算法，降低檢測(cè)算法對(duì)瞬時(shí)異?，F(xiàn)象的敏感度。為了實(shí)現(xiàn)系統(tǒng)參數(shù)對(duì)于動(dòng)態(tài)網(wǎng)絡(luò)環(huán)境的自適應(yīng)調(diào)整，提出了將誤報(bào)率和漏檢率折中尋求“最佳檢測(cè)點(diǎn)”的優(yōu)化算法，利用計(jì)算的每個(gè)時(shí)刻代價(jià)函數(shù)最小值改變參數(shù)值的大小，達(dá)到動(dòng)態(tài)調(diào)整系統(tǒng)參數(shù)的目的。仿真實(shí)驗(yàn)表明，優(yōu)化以后的檢測(cè)算法更能夠有效地適應(yīng)網(wǎng)絡(luò)的動(dòng)態(tài)變化，減小檢測(cè)系統(tǒng)的誤差。
　　 ③提出了利用跟蹤樹(shù)實(shí)現(xiàn)對(duì)P2P文件分享系統(tǒng)中污染文

5、件傳播的檢測(cè)機(jī)制。針對(duì)普遍采用的“聲譽(yù)度檢測(cè)機(jī)制”容易被虛假聲譽(yù)評(píng)價(jià)破壞的不足，利用跟蹤樹(shù)算法提高聲譽(yù)度的可信度，從而提高污染文件檢測(cè)的準(zhǔn)確度；針對(duì)文件分享系統(tǒng)可能出現(xiàn)的DDOS攻擊，提出了“軟隔離”結(jié)合“分散攻擊”的防御策略，減小了大量節(jié)點(diǎn)在同一時(shí)刻連接到少數(shù)節(jié)點(diǎn)的可能性。
　　 ④提出了改進(jìn)的多參數(shù)蠕蟲(chóng)傳播模型，分別考慮了時(shí)間參數(shù)和對(duì)抗參數(shù)對(duì)于蠕蟲(chóng)傳播的影響，與傳統(tǒng)的蠕蟲(chóng)傳播模型相比較，多參數(shù)蠕蟲(chóng)傳播模型更能夠真實(shí)地反映真實(shí)