Rootkit的分類方法和檢測技術(shù)研究.pdf

1、隨著計(jì)算機(jī)在各行各業(yè)應(yīng)用的深入和普及，各類社會、經(jīng)濟(jì)、政治、國防等重要信息大量的在計(jì)算機(jī)中存儲和網(wǎng)絡(luò)中傳輸，圍繞系統(tǒng)安全的研究也成為最熱門的研究方向之一。由于現(xiàn)在的因特網(wǎng)以及操作系統(tǒng)存在很多的安全漏洞，連接在因特網(wǎng)上的計(jì)算機(jī)很容易受到各種各樣的攻擊，其中被廣泛使用的一種技術(shù)就是Rootkit。當(dāng)前Rootkit檢測方法和技術(shù)只能判斷系統(tǒng)中是否安裝某類已知Rootkit，而無法檢測其它修改后的已知Rootkit和未知Rootkit。

2、 本課題研究目標(biāo)是提出一種檢測和分類所有類型Rootkit的方法。首先深入研究和分析。Rootkit的攻擊原理，對當(dāng)前Rootkit進(jìn)行縱向分類，并提出一個(gè)分類和描述Rootkit特征的數(shù)學(xué)模型；然后基于該數(shù)學(xué)模型，提出一個(gè)新型和完善的Rootkit檢測和分類方法。通過大量實(shí)驗(yàn)證明該方法的可行性，并與當(dāng)前流行的Rootkit檢測方法進(jìn)行分析比較，供計(jì)算機(jī)安全研究人員檢測和分析Rookit漏洞利用特征。本論文詳細(xì)描述檢測分析步驟，主要分

3、為文件完整性檢測、內(nèi)核完整性檢測及內(nèi)核代碼段比較等，通過這些步驟可分析出：Rootkit的漏洞利用特征及類型。本文還提出如何運(yùn)用蜜網(wǎng)系統(tǒng)捕獲Rootkit及攻擊行為，分析攻擊者編寫的各類Rootkit的漏洞利用特征，并將特征加入當(dāng)前的己知Rootkit檢測工具。本課題研究的技術(shù)路線是使用開源的GPL工具和其他開源工具軟件進(jìn)行研究，使該方法具有很高的靈活性和適應(yīng)性。研究中分析的目標(biāo)Rootkit是由蜜網(wǎng)系統(tǒng)捕獲的，蜜網(wǎng)系統(tǒng)具有數(shù)據(jù)捕獲、數(shù)

4、據(jù)控制和數(shù)據(jù)分析的特點(diǎn)，可用于記錄攻擊者安裝Rootkit的信息及Rootkit副本。 本文分為3個(gè)部分，第一部分概述本課題研究中涉及到的基本原理，包括Linux系統(tǒng)的調(diào)用機(jī)制、可加載內(nèi)核模塊LKM機(jī)制及Rootkit的攻擊原理，并分析當(dāng)前Rootkit檢測方法和防御技術(shù)的特點(diǎn)。當(dāng)前方法包括檢測Rootkit的GPL工具及維護(hù)系統(tǒng)完整性的GPL程序和作為潛在方法的黑盒分析技術(shù)。第二部分是本文的主體部分，介紹描述Rootkit的數(shù)