虛擬環(huán)境“數字腳印”提取與惡意行為分析技術研究.pdf

1、隨著虛擬化技術的迅猛發(fā)展，越來越多的企業(yè)、高校、政府的業(yè)務應用轉移至虛擬環(huán)境中。虛擬化技術應用業(yè)務的激增，針對虛擬環(huán)境的網絡攻擊也日漸劇增。這些針對虛擬環(huán)境的攻擊活動，對國家、企業(yè)的經濟及安全等造成嚴重威脅。而虛擬環(huán)境網絡攻擊技術的隱蔽化（如:反取證技術），使傳統(tǒng)內存取證技術不能有效應對虛擬環(huán)境下的取證工作。因此研究虛擬環(huán)境內存證據無損提取，惡意軟件攻擊行為還原，對幫助政法機關完成事后證據重建，打擊網絡犯罪意義重大。
　　本文研究

2、并實現虛擬環(huán)境內存取證專用系統(tǒng)，主要包含以下三個創(chuàng)新點。第一，本文提出針對VMware虛擬環(huán)境的內存取證模型，該模型改進了已有內存取證模型的取證流程，具有取證過程可重復、內存獲取準確性高、取證效率高、抗干擾性強等優(yōu)點。第二，本文提出虛擬環(huán)境“數字腳印”，將傳統(tǒng)內存取證提取的數字特征定義為“數字紋路”，其在時間序列上構成的動態(tài)行為特征定義為“數字腳印”，比傳統(tǒng)“數字紋路”捕獲的行為信息更全面。第三，本文提出改進的K-means惡意進程多源

3、關聯性分析算法，該算法把進程關系擴展到父子、名稱、時間、文件、通信、賬戶六元關系，六元關系關聯度代替?zhèn)鹘y(tǒng)K-means算法的余弦距離，惡意進程初始化規(guī)則代替?zhèn)鹘y(tǒng)K-means算法隨機初始化，具有穩(wěn)定性高、關聯完整性高等優(yōu)點。本文通過研究虛擬環(huán)境內存管理與地址轉換機制，重構內存易失性數據，完成虛擬環(huán)境“數字腳印”提取、惡意行為檢測、惡意進程關聯性分析，最終實現惡意軟件行為重建，滿足政法機關在業(yè)務應用、深度分析、線索追蹤等方面的業(yè)務需求。<