基于行為的多態(tài)蠕蟲(chóng)檢測(cè)技術(shù)研究.pdf

1、隨著網(wǎng)絡(luò)系統(tǒng)應(yīng)用及復(fù)雜性的增加，網(wǎng)絡(luò)蠕蟲(chóng)成為網(wǎng)絡(luò)系統(tǒng)安全的重要威脅。近幾年來(lái)，蠕蟲(chóng)本身又有了新的進(jìn)展，即多態(tài)蠕蟲(chóng)的出現(xiàn)，其通過(guò)使用多種變形技術(shù)可以很容易的避開(kāi)現(xiàn)有入侵檢測(cè)系統(tǒng)的檢測(cè)，成為未來(lái)威脅到互聯(lián)網(wǎng)絡(luò)安全的一個(gè)重大隱患。目前，針對(duì)多態(tài)蠕蟲(chóng)的檢測(cè)技術(shù)的研究已經(jīng)成為現(xiàn)在蠕蟲(chóng)研究的熱點(diǎn)。 盡管針對(duì)多態(tài)蠕蟲(chóng)的研究已有了許多有價(jià)值的研究成果，但均建立在多態(tài)蠕蟲(chóng)只能進(jìn)行簡(jiǎn)單變形與隱蔽的假設(shè)基礎(chǔ)上，對(duì)現(xiàn)有蠕蟲(chóng)變形技術(shù)及工具缺乏全面的分析與

2、認(rèn)識(shí)。雖然多態(tài)蠕蟲(chóng)還未在網(wǎng)絡(luò)上大規(guī)模的出現(xiàn)，并像Morris、CodRed等蠕蟲(chóng)那樣給社會(huì)帶來(lái)巨大的損失與危害，但隨著代碼混淆技術(shù)及變形技術(shù)的不斷提高，其潛在的破壞性與危害性不得不引起我們的關(guān)注。本文試圖以多態(tài)蠕蟲(chóng)及其檢測(cè)技術(shù)為主題，對(duì)其進(jìn)行系統(tǒng)及全面的分析與研究。 基于行為的多態(tài)蠕蟲(chóng)檢測(cè)技術(shù)，由于其利用蠕蟲(chóng)行為不變性這一特點(diǎn)以及在檢測(cè)多態(tài)蠕蟲(chóng)方面的靈活性，已成為目前多態(tài)蠕蟲(chóng)檢測(cè)技術(shù)研究的重點(diǎn)。本文綜合論述了多態(tài)蠕蟲(chóng)本身的結(jié)構(gòu)及

3、常用變形技術(shù)，對(duì)近幾年來(lái)針對(duì)多態(tài)蠕蟲(chóng)的防治技術(shù)進(jìn)行了歸納總結(jié)和比較分析，并在此基礎(chǔ)上對(duì)多態(tài)蠕蟲(chóng)本身進(jìn)行了進(jìn)一步的研究與探討，提出了一個(gè)針對(duì)能力更強(qiáng)的多態(tài)蠕蟲(chóng)的檢測(cè)方法，所做主要工作如下： 1)針對(duì)現(xiàn)有多態(tài)蠕蟲(chóng)檢測(cè)技術(shù)給出了系統(tǒng)及全面的分析。通過(guò)對(duì)現(xiàn)有幾類檢測(cè)技術(shù)的比較，給出了它們各自的優(yōu)點(diǎn)與局限性，并以圖表的形式清晰全面得對(duì)其各個(gè)方面的特點(diǎn)進(jìn)行了對(duì)比與總結(jié)。 2)給出了一種能力較強(qiáng)的多態(tài)蠕蟲(chóng)的結(jié)構(gòu)及變形方式--可改變程序

4、結(jié)構(gòu)的多態(tài)蠕蟲(chóng)。通過(guò)對(duì)大量文獻(xiàn)及現(xiàn)有變形技術(shù)的分析，給出了一種能力較強(qiáng)且具有潛在危害性的多態(tài)蠕蟲(chóng)，并對(duì)其多種變形方式進(jìn)行了分析。同時(shí)，本文還對(duì)現(xiàn)有檢測(cè)技術(shù)在防治該種多態(tài)蠕蟲(chóng)時(shí)表現(xiàn)出的局限性進(jìn)行了分析與總結(jié)。 3)針對(duì)上述多態(tài)蠕蟲(chóng)給出了一種新的檢測(cè)技術(shù)--利用PDG(程序依賴圖)檢測(cè)結(jié)構(gòu)可變的多態(tài)蠕蟲(chóng)。通過(guò)對(duì)該蠕蟲(chóng)行為特點(diǎn)的深入分析，即在整個(gè)傳播與攻擊過(guò)程中功能保持不變的特點(diǎn)，提出利用PDG來(lái)描述形態(tài)各異的蠕蟲(chóng)實(shí)例間功能上的共性，