基于廣譜通信行為分析的木馬檢測技術(shù)研究.pdf

1、隨著 Internet 的快速發(fā)展，網(wǎng)絡(luò)安全也隨之成為一個(gè)重要問題。木馬做為一種主要的信息竊取和破壞手段，對網(wǎng)絡(luò)信息安全構(gòu)成了重大的威脅。因此，木馬的檢測問題已成為互聯(lián)網(wǎng)安全研究的一個(gè)主要課題。 木馬的檢測技術(shù)主要分為靜態(tài)特征信息檢測和動(dòng)態(tài)行為檢測。靜態(tài)特征信息檢測是應(yīng)用最早，也是最成熟的木馬檢測手段，具有準(zhǔn)確率高的特點(diǎn)。但隨著木馬數(shù)量的大量增加，靜態(tài)檢測出現(xiàn)了兩個(gè)問題：一是檢測效率下降；二是不能檢測未知木馬。因此，做為對靜態(tài)特

2、征信息檢測的補(bǔ)充，動(dòng)態(tài)行為檢測因其具備檢測未知木馬的能力而備受重視。 動(dòng)態(tài)行為檢測是根據(jù)木馬不同于合法程序的行為特點(diǎn)來進(jìn)行檢測。在眾多行為中，網(wǎng)絡(luò)通信是木馬不能回避的關(guān)鍵行為。通信行為包括通信流量在時(shí)間上的分布特點(diǎn)以及通信所采用的技術(shù)。通信行為檢測的關(guān)鍵是將木馬通信行為與正常通信行為區(qū)別開來。 通過總結(jié)現(xiàn)有木馬通信技術(shù)，本文提出了一種基于廣譜通信行為分析的木馬檢測機(jī)制。該機(jī)制針對木馬網(wǎng)絡(luò)通信技術(shù)日益底層化的趨勢，提出在網(wǎng)

3、絡(luò)驅(qū)動(dòng)接口規(guī)范 (NDIS) 層上攔截主機(jī)向外發(fā)送的數(shù)據(jù)包。然后經(jīng)過網(wǎng)絡(luò)協(xié)議 (TCP/IP)解碼，對這些數(shù)據(jù)包進(jìn)行分析，得到發(fā)送端口信息。通過端口與進(jìn)程關(guān)聯(lián)，來判斷這個(gè)數(shù)據(jù)包是否是木馬發(fā)出的。同時(shí)根據(jù)得到的進(jìn)程信息來查殺木馬。該機(jī)制的特點(diǎn)是：由于在底層截獲數(shù)據(jù)包，所以該機(jī)制具備廣譜性，能對多種木馬通信方式進(jìn)行檢測；由于端口信息是該機(jī)制的關(guān)鍵信息，所以能檢測新出現(xiàn)的采用無端口通信方式的木馬；由于通過進(jìn)程信息來判別木馬，因此具備一定的檢測

4、進(jìn)程隱藏木馬的能力。其中前兩點(diǎn)是以前的基于木馬通信行為的檢測方式所不具備的。 基于廣譜通信行為分析的木馬檢測機(jī)制，本文設(shè)計(jì)了木馬檢測模塊 CBDM(Communication Behavior Detection Module)，并實(shí)現(xiàn)了其中的關(guān)鍵子模塊。由于采用了模塊化設(shè)計(jì)，具備了較好的移植性，因此它可以做為單獨(dú)的木馬檢測軟件使用，也可以做為附加功能添加到入侵檢測系統(tǒng)和防火墻中。本文最后討論了該模塊的局限性，并提出了改進(jìn)的方向