基于差异对比法的文件可疑通信行为检测.pdfVIP

第30卷第 1期 计算机应用 VoI．30No．1 2010年 1月 JournalofComputerApplications Jan．2010 文章编号：1001—9081(2010)O1—0210—03 基于差异对 比法的文件可疑通信行为检测 钟明全，唐彰国，李焕洲，张 健 (四川师范大学 网络与通信技术研究所 ，成都 610066) (mqzhong@sina．COB) 摘 要：针对恶意程序对计算机用户造成的危害以及其数量上的快速增长，提出了一种基于文件网络通信行为 数据 的检测系统。重点介绍 了基于差异对 比法的可疑通信行为检测模型，给 出了系统各模块协 同工作流程图以及系 统中关键技术的实现代码。测试结果表明，该系统具备通信检测、通信进程检测和域名信息检测功能。 关键词 ：恶意程序 ；网络驱动 ；通信检测；服务提供者接 口 中图分类号：TP393 文献标志码 ：A Detectionofsuspiciouscommunicationbehaviorofoneprogram basedonmethodofdi rencecontrast ZHONGMing—quan，TANGZhang-guo，LIHuan·zhou，ZHANGJian (InstituteofComputerNetworkandCommunicationTechnology,SwhuanNormal￡ ，ChengduShuan610066，China) Abstract：Inallusiontothedamageofbalefulprogram forcomputerusersanditsfastgrowth inquantity，adetection system based on network communication behaviordata ofone program wasproposed．A detection modelofsuspicious communicationbehaviorbasedondifferencecontrastwasemphasized．Thecooperativework diargam ofeach moduleofthe system andprogram codeofcritical technologyofthesystem weregiven．Thetestresultshowsthatthesystem candetect networkcommunication，communicationprocessanddomainnameforoneprogram． Keywords：balefulprogram；networkdriver；communicationdetection；ServiceProviderInterface(SPI) 自己的程序进行包分析处理。SPI以动态链接库的形式存 O 引言 在，工作在用户模式 ，每一个SPI动态库都必须提供 30个标 随着计算机网络技术不断发展以及 Internet的普及，网络 准函数与 WinsockAPI调用形成映射关系。SPI允许两种服 安全问题不仅关系到重要信息系统部门，也和普通的网络用 务提供者——传输服务提供者和名字空问服务提供者，传输 户息息相关。恶意程序 (如后门、木马等)不仅可以窃取用户 服务提供者又分为基础服务提供者和分层服务提供者，分层 的重要信息，而且可以对用户计算机进行强行控制，破坏计算 服务提供者比基础服务提供者实现起来更容易一些。 机的硬盘数据