改进的进程行为检测模型及实现.pdfVIP

第30卷第 1期 计算机应用 V01．30No．1 20l0年 1月 JournalofComputerApplications Jan．2010 文章编号：1001—9081(2010)01—0207—03 改进的进程行为检测模型及实现 唐彰 国，李焕洲，钟明全 ，张 健 (四JIl师范大学 网络与通信技术研究所，成都 610066) (tangzhangguo@sicnu．edu．cn) 摘 要：为了检测恶意程序，分析了现有各类检测机制的不足，重新界定了进程行为概念的外延，提 出了差量对 比与进程动态行为分析的检测模型，给出了关键技术和实现方法。测试结果表明该检测模型在通用性和有效性方面 优 于传统检测 方法。 关键词：恶意程序 ；差量对 比；检测模型；API函数 中图分类号：TP309 文献标志码 ：A Improvedmodelofprocessbehaviordetectionandimplementation TANGZhang—guo，LIHuan-zhou，ZHONGMing—quan，ZHANGJian (InstituteofComputerNetworkandCommunicationTechnology,SichuanNormalUniversity,ChengduSichnan610066，China) Abstract：Todetectmaliciouspro~am，thedisadvantagesofcurrentdetectionmechanism wereanalyzed．Theextension ofprocessbehaviorconceptwasredefined．A detectionmodelofdifferencecomparisonandprocessdynamicbehavioranalysis wasproposed．Thecritical technologyna drealizationweregiven．Theexperimental resultsindicatethatthedetectionmodel excelstraditional detectionmethodinversatilitynadeffectiveness． Keywords：viciousprocedure；differencecomparison；detectionmodel；APIfunction 操作系统的不同层次和不同路径上实现。正是因为这个原 0 引言 理 ，恶意程序与检测工具在技术上表现出有针对的对抗性，使 当前，恶意程序(如木马等)越来越泛滥。恶意程序使用 得以上类型的检测技术不能面面俱到，无法构筑一个全方位 的技术主要有：用户模式系统调用劫持 、核心模式系统调用劫 的进程行为监控体系。 持、核心模式数据篡改以及核心模式 中断处理程序劫持。恶 综合分析以上进程动态行为检测技术发现，共同的缺点 意程序检测方法分为静态检测和动态行为检测。其中动态行 是把检测的重点只放在进程行为的过程上 ，而忽视了行为结 为检测方法主要有挂钩函数检测、隐藏进程检测、可执行路径 果以及进程状态变化等相关信息，从而就导致了漏检率和误 分析检测 (EPA)、交叉检查差量检测和内存完整性检测。目 检率较高。本文将重新审视进程行为的定义，并据此提出一 前 ，对进程检测的研究国内外主要集中在进程行为的实现上。 种改进的进程行为检测模型：差量对 比与进程行为动态分析。 例如挂钩函数检测法通过检测系统内存 中操作系统模块和进