計(jì)算機(jī)病毒行為檢測(cè)方法研究.pdf

1、隨著計(jì)算機(jī)應(yīng)用的逐漸普及，各種商業(yè)利益驅(qū)動(dòng)下計(jì)算機(jī)病毒編寫(xiě)和傳播已經(jīng)漸漸形成一條完整的產(chǎn)業(yè)鏈，病毒的數(shù)量以及破壞程度都遠(yuǎn)遠(yuǎn)超過(guò)以往。面對(duì)計(jì)算機(jī)病毒所造成的安全威脅，研發(fā)病毒防御技術(shù)就成了人們的當(dāng)務(wù)之急。而病毒檢測(cè)作為病毒防御的第一步，在應(yīng)對(duì)計(jì)算機(jī)病毒的威脅上起著至關(guān)重要的作用。傳統(tǒng)的病毒檢測(cè)技術(shù)多采用特征碼檢測(cè)技術(shù)，由于特征碼檢測(cè)存在的不足，近年來(lái)計(jì)算機(jī)病毒行為檢測(cè)技術(shù)獲得了長(zhǎng)足的發(fā)展。行為檢測(cè)的依據(jù)在于：比之普通的軟件程序，病毒具有一

2、些特定的行為，一個(gè)病毒的運(yùn)作，必然會(huì)伴隨這些特定行為，這就使得病毒的行為與正常程序的行為存在區(qū)別。
　　 本課題采取API作為病毒行為特征，運(yùn)用支持向量機(jī)的方法構(gòu)建出病毒的特征行為空間，采用信息熵來(lái)放大病毒行為與正常程序的區(qū)別，通過(guò)學(xué)習(xí)分類尋找并建立空間中將病毒行為與正常軟件行為切分的超平面，再對(duì)不同類型病毒的特征行為進(jìn)行區(qū)分，進(jìn)而利用“一對(duì)一”的多類支持向量機(jī)分類方法對(duì)不同病毒進(jìn)行分類。
　　 然而這種方法僅截取程序A

3、PI調(diào)用序列作為行為特征，并未區(qū)分不同API在病毒檢測(cè)中所起到的不同作用。因此本課題進(jìn)一步引入動(dòng)態(tài)鏈接庫(kù)將病毒行為分解為大量功能模塊，不同模塊中API重要程度不同，并將DLL與API共同看作程序調(diào)用的資源。根據(jù)DLL之間調(diào)用以及DLL調(diào)用API的關(guān)系將程序調(diào)用資源繪制成樹(shù)狀結(jié)構(gòu)，稱為程序行為資源樹(shù)，再截取樹(shù)中重要結(jié)構(gòu)塊作為程序行為特征，并建立了一種針對(duì)行為資源樹(shù)的病毒檢測(cè)模型。
　　 最后，本課題收集了大量程序其中包括許多病毒程