基于行为分析的主动防御技术及其脆弱性研究.pdfVIP

第２６卷第７期　　　 计算机应用与软件 Ｖｏｌ２６Ｎｏ．７ ２００９年７月　　 ＣｏｍｐｕｔｅｒＡｐｐｌｉｃａｔｉｏｎｓａｎｄＳｏｆｔｗａｒｅ Ｊｕｌ．２００９ 基于行为分析的主动防御技术及其脆弱性研究 罗晓波　王开建　徐良华 （江南计算技术研究所　江苏无锡２１４０８３） 摘　要　　主动防御技术的出现弥补了传统的病毒扫描技术和防火墙技术的不足，给计算机系统提供了更加严密的保护。首先阐 述了基于行为分析的主动防御技术的原理和实现，然后从几个方面对其脆弱性进行了分析，并研究了突破这种主动防御系统的可行 性，最后提出了一些方法来增强主动防御。 关键词　　主动防御　病毒扫描　防火墙　挂钩　ＳＳＤＴ ＯＮＡＣＴＩＶＥＤＥＦＥＮＣＥＴＥＣＨＮＯＬＯＧＹＢＡＳＥＤＯＮＢＥＨＡＶＩＯＵＲＡＮＡＬＹＺＩＮＧＡＮＤ ＩＴＳＶＵＬＮＥＲＡＢＩＬＩＴＩＥＳ ＬｕｏＸｉａｏｂｏ　ＷａｎｇＫａｉｊｉａｎ　ＸｕＬｉａｎｇｈｕａ （ＩｎｓｔｉｔｕｔｅｏｆＪｉａｎｇｎａｎＣｏｍｐｕｔｅｒＴｅｃｈｎｏｌｏｇｙ，Ｗｕｘｉ２１４０８３，Ｊｉａｎｇｓｕ，Ｃｈｉｎａ） Ａｂｓｔｒａｃｔ　　Ｔｈｅｅｍｅｒｇｅｎｃｅｏｆａｃｔｉｖｅｄｅｆｅｎｃｅｔｅｃｈｎｏｌｏｇｙｍａｋｅｓｕｐｔｈｅｐｉｔｆａｌｌｓｏｆｔｒａｄｉｔｉｏｎｖｉｒｕｓｓｃａｎａｎｄｆｉｒｅｗａｌｌｔｅｃｈｎｏｌｏｇｉｅｓ，ａｎｄｇｉｖｅｓａｎ ａｌｌ－ａｒｏｕｎｄｐｒｏｔｅｃｔｉｏｎｏｎｃｏｍｐｕｔｅｒｓｙｓｔｅｍ．Ｆｉｒｓｔ，ｔｈｅｐｒｉｎｃｉｐｌｅａｎｄｉｍｐｌｅｍｅｎｔａｔｉｏｎｏｆａｃｔｉｖｅｄｅｆｅｎｃｅｔｅｃｈｎｏｌｏｇｙｂａｓｅｄｏｎｂｅｈａｖｉｏｕｒａｎａｌｙｚｉｎｇ ａｒｅｄｉｓｃｕｓｓｅｄ，ａｎｄｔｈｅｎｔｈｅｖｕｌｎｅｒａｂｉｌｉｔｉｅｓｏｆｔｈｉｓｔｅｃｈｎｏｌｏｇｙａｒｅａｎａｌｙｚｅｄｆｒｏｍｓｅｖｅｒａｌａｓｐｅｃｔｓ，ｔｈｅｐｏｓｓｉｂｉｌｉｔｙｏｆｂｒｅａｋｉｎｇｔｈｒｏｕｇｈｔｈｅｓｙｓｔｅｍｏｆ ａｃｔｉｖｅｄｅｆｅｎｃｅｔｅｃｈｎｏｌｏｇｙａｒｅｓｔｕｄｉｅｄａｓｗｅｌｌ，ａｎｄａｔｌａｓｔｓｅｖｅｒａｌｍｅｔｈｏｄｓａｒｅｐｒｅｓｅｎｔｅｄｆｏｒｓｔｒｅｎｇｔｈｅｎｉｎｇｔｈｅａｃｔｉｖｅｄｅｆｅｎｃｅｔｅｃｈｎｏｌｏｇｙ． Ｋｅｙｗｏｒｄｓ　　Ａｃｔｉｖｅｄｅｆｅｎｃｅ　Ｖｉｒｕｓｓｃａｎ　Ｆｉｒｅｗａｌｌ　Ｈｏｏｋ　Ｓｙｓｔｅｍｓｅｒｖｉｃｅｄｅｓｃｒｉｐｔｏｒｔａｂｌｅ 是病毒。这种病毒扫描的缺点是明显的，由于病毒变化多样，其 ０　引　言 特征码也是不断变化的，因此杀毒软件的病毒库更新总是落后 于病毒的更新。一个新生的病毒从产生到大规模爆发这一阶 计算机的普及和Ｉｎｔｅｒｎｅｔ的飞速发展极大地推动了社会信 段，在计算机系统上畅行无阻，等到杀毒软件收集到特征码并更 息化进程。人们在享受计算机网络所带来的便利的同时，却不 新病毒库时，该病毒已经造成了巨大的损失。 得不面对网络攻击所导致的安全问题。破坏文件的病毒可能摧 基于行为分析的行为杀毒技术（简称行为杀毒技术）主要 毁计算机上存储的所有文件，给用户造成无法挽回的损失；窃取 是通过监视程序的行为来判断程序的危害性。程序运行时会调 信息的间谍程序可能导致账号密码的泄漏或丢失、商业敏感信 用各种应用编程接口（ＡＰＩ），行为杀毒技术通过监视这些ＡＰＩ 息被非法窃取、国家重要机关的涉密文件被盗等；木马程序［１］ 的调用，即可了解程序的运行状态，从而可以判断出程序的危害 除了有信息窃取的功能外，还可能导致计算机完全被黑客控制； 性。这种杀毒技术的优点是原理简单、操作简便，能够准确地掌 而蠕虫的大规模爆发则可能使得计算机系统和计算机网络趋于