基于接觸跟蹤的惡意軟件傳播檢測方法及應用研究.pdf

1、隨著計算機網(wǎng)絡的廣泛應用，網(wǎng)絡安全問題越來越得到用戶和管理者的重視。惡意軟件的傳播，不僅占用感染主機的大部分系統(tǒng)資源，對系統(tǒng)造成破壞；同時還會搶占網(wǎng)絡帶寬，造成網(wǎng)絡堵塞，對于惡意軟件的研究已經(jīng)成為近年來國內(nèi)外在網(wǎng)絡安全和信息安全領域的研究熱點之一。為了檢測未知的惡意軟件，論文分析惡意軟件的行為特征，提出了一種基于接觸跟蹤的惡意軟件傳播檢測方法，主要工作及成果如下：
　　 ①借鑒醫(yī)學中病毒傳播的特性，提出了基于“單點檢測-多點跟蹤

2、”模式的接觸跟蹤檢測算法。針對單一行為特征檢測誤報率較大的問題，提出了一種基于多特征模式歸類的單點檢測算法，對提取的多個特征分別應用基于差分熵定律的檢測算法，最后利用EWMA算法實現(xiàn)多特征融合，采用多特征融合技術能夠更有效地提取屬于惡意軟件特有的行為特征組合，減小系統(tǒng)誤報率。為了預先區(qū)分正常數(shù)據(jù)流量和異常數(shù)據(jù)流量，采用了卡爾曼濾波的方法實現(xiàn)對正常數(shù)據(jù)流量的預測，在已知原始數(shù)據(jù)流量的情況下，計算得到異常數(shù)據(jù)流量預測值。為滿足不同網(wǎng)絡環(huán)境下

3、對檢測精度和檢測速度的要求，提出了三種跟蹤算法：簡單跟蹤算法，最優(yōu)路徑跟蹤算法和因果跟蹤鏈算法，實現(xiàn)對可疑節(jié)點的異常連接行為特征的跟蹤。仿真實驗表明，多點跟蹤模式能夠減小單點檢測產(chǎn)生的誤報率。
　　 ②提出了基于動態(tài)累計異常行為特征檢測算法。分析基本累計異常行為特征檢測算法檢測精度和時間窗口T的關系，采用了動態(tài)時間窗口的優(yōu)化措施，弱化了時間窗口對于檢測范圍的限制，有效地降低了時間窗口寬度的不同對檢測結果造成的影響。針對現(xiàn)有的基本

4、算法對瞬時異?，F(xiàn)象的敏感性高的問題，提出了相似度計算結合熵定律的優(yōu)化算法，降低檢測算法對瞬時異?，F(xiàn)象的敏感度。為了實現(xiàn)系統(tǒng)參數(shù)對于動態(tài)網(wǎng)絡環(huán)境的自適應調(diào)整，提出了將誤報率和漏檢率折中尋求“最佳檢測點”的優(yōu)化算法，利用計算的每個時刻代價函數(shù)最小值改變參數(shù)值的大小，達到動態(tài)調(diào)整系統(tǒng)參數(shù)的目的。仿真實驗表明，優(yōu)化以后的檢測算法更能夠有效地適應網(wǎng)絡的動態(tài)變化，減小檢測系統(tǒng)的誤差。
　　 ③提出了利用跟蹤樹實現(xiàn)對P2P文件分享系統(tǒng)中污染文

5、件傳播的檢測機制。針對普遍采用的“聲譽度檢測機制”容易被虛假聲譽評價破壞的不足，利用跟蹤樹算法提高聲譽度的可信度，從而提高污染文件檢測的準確度；針對文件分享系統(tǒng)可能出現(xiàn)的DDOS攻擊，提出了“軟隔離”結合“分散攻擊”的防御策略，減小了大量節(jié)點在同一時刻連接到少數(shù)節(jié)點的可能性。
　　 ④提出了改進的多參數(shù)蠕蟲傳播模型，分別考慮了時間參數(shù)和對抗參數(shù)對于蠕蟲傳播的影響，與傳統(tǒng)的蠕蟲傳播模型相比較，多參數(shù)蠕蟲傳播模型更能夠真實地反映真實