惡意代碼態(tài)勢(shì)感知系統(tǒng)的設(shè)計(jì)與實(shí)現(xiàn).pdf

1、隨著互聯(lián)網(wǎng)在我國(guó)的普及程度越來(lái)越高,其在國(guó)家的政治、經(jīng)濟(jì)、軍事、文化等領(lǐng)域發(fā)揮的作用也越來(lái)越重要,但與此同時(shí),與互聯(lián)網(wǎng)相關(guān)的安全問(wèn)題也越來(lái)越嚴(yán)重,網(wǎng)絡(luò)與信息安全已經(jīng)成為了互聯(lián)網(wǎng)不可避免的問(wèn)題。
　　 2008年微軟的IE7.0瀏覽器出現(xiàn)的的一次重大安全漏洞引起了安全界的廣泛關(guān)注。而在2008年北京奧運(yùn)會(huì)開(kāi)幕的前夕,我國(guó)的互聯(lián)網(wǎng)網(wǎng)絡(luò)安全狀況曾一度急劇惡化。據(jù)統(tǒng)計(jì),2008年在中國(guó)大陸地區(qū),共發(fā)現(xiàn)了438386個(gè)木馬控制端,比200

2、7年增長(zhǎng)了近64.7％。另外,垃圾郵件,蠕蟲(chóng)病毒和分布式拒絕服務(wù)造成的危害也越來(lái)越嚴(yán)重。各種網(wǎng)絡(luò)入侵行為帶來(lái)的嚴(yán)峻的安全問(wèn)題對(duì)安全產(chǎn)品也提出了更高的要求。網(wǎng)絡(luò)安全態(tài)勢(shì)感知就是近幾年新興起來(lái)的一種針對(duì)大規(guī)模網(wǎng)絡(luò)的安全防御技術(shù)。目前對(duì)網(wǎng)絡(luò)安全態(tài)勢(shì)感知尚未有一個(gè)標(biāo)準(zhǔn)的定義,一般認(rèn)為安全態(tài)勢(shì)感知就是將底層各安全產(chǎn)品如入侵檢測(cè)系統(tǒng)(IDS),防火墻等提供的能夠反映網(wǎng)絡(luò)安全狀態(tài)的信息通過(guò)數(shù)據(jù)融合、歸并和關(guān)聯(lián)后形成更高層次的信息以反映網(wǎng)絡(luò)當(dāng)前的安全狀

3、態(tài)以及未來(lái)可能的安全走勢(shì),并通過(guò)可視化技術(shù)將這些信息提供給網(wǎng)絡(luò)管理人員。網(wǎng)絡(luò)安全態(tài)勢(shì)感知技術(shù)能從更宏觀的層次反映網(wǎng)絡(luò)的狀態(tài),幫助網(wǎng)絡(luò)管理人員及時(shí)發(fā)現(xiàn)各種網(wǎng)絡(luò)入侵行為并做出應(yīng)急響應(yīng)措施。目前已經(jīng)有越來(lái)越多的研究人員投入到網(wǎng)絡(luò)安全態(tài)勢(shì)感知的研究中,從某種程度上可以說(shuō)網(wǎng)絡(luò)安全態(tài)勢(shì)感知技術(shù)代表了安全技術(shù)發(fā)展的一個(gè)新方向。
　　 由于近幾年來(lái),木馬和后門(mén)攻擊造成的危害有逐年升高的趨勢(shì),而目前尚未出現(xiàn)專門(mén)評(píng)估某一類特定攻擊對(duì)網(wǎng)絡(luò)安全態(tài)勢(shì)影響

4、的態(tài)勢(shì)感知系統(tǒng),因此本文在現(xiàn)有網(wǎng)絡(luò)安全態(tài)勢(shì)研究的基礎(chǔ)上,設(shè)計(jì)了一個(gè)完整的惡意代碼入侵檢測(cè)系統(tǒng),該系統(tǒng)著重于評(píng)估木馬和后門(mén)攻擊對(duì)網(wǎng)絡(luò)及主機(jī)安全態(tài)勢(shì)的影響。由于現(xiàn)有的入侵檢測(cè)系統(tǒng)產(chǎn)生的告警信息量過(guò)于龐大,往往將真實(shí)的攻擊信息淹沒(méi)于其中而很難察覺(jué)和處理,為了準(zhǔn)確的感知到木馬的入侵,需要態(tài)勢(shì)感知系統(tǒng)的傳感器提供準(zhǔn)確的檢測(cè)信息,為此,我們?cè)趷阂獯a態(tài)勢(shì)感知系統(tǒng)的數(shù)據(jù)采集層設(shè)計(jì)了一個(gè)基于主機(jī)的木馬傳感器,該傳感器部署在網(wǎng)絡(luò)中各主機(jī)上,以木馬入侵主機(jī)

5、后產(chǎn)生的異常行為為基礎(chǔ)檢測(cè)木馬,向惡意代碼態(tài)勢(shì)感知系統(tǒng)提供關(guān)于木馬入侵的原始的告警信息,本文將重點(diǎn)介紹惡意代碼態(tài)勢(shì)感知系統(tǒng)中基于主機(jī)的木馬傳感器的設(shè)計(jì)和實(shí)現(xiàn)。
　　 本文的主要工作有如下幾個(gè)方面:
　　 (1)介紹了網(wǎng)絡(luò)安全態(tài)勢(shì)感知相關(guān)的基本概念,分析了當(dāng)前安全態(tài)勢(shì)感知領(lǐng)域的研究現(xiàn)狀。
　　 (2)介紹了本文設(shè)計(jì)的惡意代碼態(tài)勢(shì)感知系統(tǒng)中所采用的態(tài)勢(shì)評(píng)估、威脅評(píng)估和念勢(shì)預(yù)測(cè)方法。
　　 (3)介紹了目前在網(wǎng)

6、絡(luò)安全態(tài)勢(shì)感知中廣泛使用的傳感器技術(shù)即入侵檢測(cè)系統(tǒng)和防火墻技術(shù),并指出這些技術(shù)存在的缺陷。
　　 (4)設(shè)計(jì)了一個(gè)完整的惡意代碼態(tài)勢(shì)評(píng)估系統(tǒng),由于現(xiàn)有的各種網(wǎng)絡(luò)安全態(tài)勢(shì)評(píng)估系統(tǒng)并沒(méi)有專門(mén)針對(duì)木馬入侵行為的感知,本文設(shè)計(jì)并實(shí)現(xiàn)了一個(gè)基于主機(jī)的木馬傳感器,該傳感器以木馬入侵主機(jī)后產(chǎn)生的異常行為為基礎(chǔ)檢測(cè)木馬,傳感器提供的檢測(cè)信息用于惡意代碼態(tài)勢(shì)感知系統(tǒng)進(jìn)行安全態(tài)勢(shì)評(píng)估和威脅評(píng)估時(shí)使用。
　　 本文提出的基于主機(jī)的木馬傳感器位