老毛桃WinPE.pdfVIP

第２６卷第７期　　　 计算机应用与软件 Ｖｏｌ２６Ｎｏ．７ ２００９年７月　　 ＣｏｍｐｕｔｅｒＡｐｐｌｉｃａｔｉｏｎｓａｎｄＳｏｆｔｗａｒｅ Ｊｕｌ．２００９ 基于用户行为的网络数据过滤方法 刘忠民　刘　洪　段喜龙 （南昌航空大学计算机学院　江西南昌３３００６３） 摘　要　　网络数据过滤是防御木马的一项重要技术，提出一种基于用户行为来过滤网络数据的新方法。该方法通过进程将用户 操作行为与网络数据进行关联，允许用户操作过的进程收发网络数据，不需要人工干预就可以过滤网络数据。实践表明该方法防御 以单独进程形态运行的木马比较有效，并且不怕木马变形，有利于构建高效的防御系统。 关键词　　木马　过滤　用户行为　进程　关联 ＡＭＥＴＨＯＤＴＯＦＩＬＴＥＲＮＥＴＷＯＲＫＤＡＴＡＢＡＳＥＤＯＮＵＳＥＲＳＢＥＨＡＶＩＯＵＲ ＬｉｕＺｈｏｎｇｍｉｎ　ＬｉｕＨｏｎｇ　ＤｕａｎＸｉｌｏｎｇ （ＳｃｈｏｏｌｏｆＣｏｍｐｕｔｅｒ，ＮａｎｃｈａｎｇＨａｎｇｋｏｎｇＵｎｉｖｅｒｓｉｔｙ，Ｎａｎｃｈａｎｇ３３００６３，Ｊｉａｎｇｘｉ，Ｃｈｉｎａ） Ａｂｓｔｒａｃｔ　　ＦｉｌｔｅｒｉｎｇｔｈｅｎｅｔｗｏｒｋｄａｔａｉｓｏｎｅｏｆｔｈｅｉｍｐｏｒｔａｎｔｔｅｃｈｎｉｑｕｅｓｔｏｄｅｆｅｎｄＴｒｏｊａｎＨｏｒｓｅｓ．Ａｎｅｗｍｅｔｈｏｄｏｆｎｅｔｗｏｒｋｄａｔａｆｉｌｔｅｒｉｎｇｉｓ ｐｒｅｓｅｎｔｅｄ，ｗｈｉｃｈｉｓｂａｓｅｄｏｎｕｓｅｒｓｂｅｈａｖｉｏｕｒ．Ｔｈｉｓｍｅｔｈｏｄａｓｓｏｃｉａｔｅｓｕｓｅｒｓｏｐｅｒａｔｉｏｎｂｅｈａｖｉｏｕｒｗｉｔｈｎｅｔｗｏｒｋｄａｔａｂｙｐｒｏｃｅｓｓ．Ｔｈｅｐｒｏｃｅｓｓｅｓ ｗｈｉｃｈｈａｖｅｂｅｅｎｏｐｅｒａｔｅｄｂｙｔｈｅｕｓｅｒｓａｒｅｐｅｒｍｉｔｔｅｄｔｏｔｒａｎｓｆｅｒａｎｄｒｅｃｅｉｖｅｎｅｔｗｏｒｋｄａｔａ，ｗｉｔｈｎｏｍａｎｕａｌｉｎｔｅｒｖｅｎｔｉｏｎｔｈｅｎｅｔｗｏｒｋｄａｔａｃａｎｂｅ ｆｉｌｔｅｒｅｄ．ＩｔｗａｓｓｈｏｗｎｂｙｔｈｅｐｒａｃｔｉｃｅｔｈａｔｔｈｅｍｅｔｈｏｄｉｓｑｕｉｔｅｅｆｆｅｃｔｉｖｅｉｎｄｅｆｅｎｄｉｎｇｔｈｅＴｒｏｊａｎＨｏｒｓｅｓｒｕｎｎｉｎｇｉｎｔｈｅｆｏｒｍｏｆｉｎｄｉｖｉｄｕａｌｐｒｏｃｅｓｓ ａｎｄｌｅａｄｓＴｒｏｊａｎＨｏｒｓｅｓｄｉｓｔｏｒｔｉｏｎｕｓｅｌｅｓｓ．Ｉｔｉｓｂｅｎｅｆｉｃｉａｌｔｏｃｏｎｓｔｒｕｃｔｉｎｇａｎｅｆｆｉｃｉｅｎｔｄｅｆｅｎｄｉｎｇｓｙｓｔｅｍ． Ｋｅｙｗｏｒｄｓ　　Ｔｒｏｊａｎｈｏｒｓｅ　Ｆｉｌｔｅｒ　Ｕｓｅｒｓｂｅｈａｖｉｏｕｒ　Ｐｒｏｃｅｓｓ　Ａｓｓｏｃｉａｔｅ 技术在主机防火墙中已得到广泛使用。主机防火墙根据规则来 ０　引　言 过滤网络数据，规则可由用户直接设置，也可由软件自动生成。 规则的自动生成通常是这样：在一个安装了主机防火墙的计算 目前，网上购物、网上股票交易和网络游戏等互联网应用日 机上，用户运行一个新的网络应用程序，系统会弹出一个窗口， 益流行，而在互连网应用中用户需要账户信息来表明身份。不 提示某个程序正在发送网络数据，由用户选择是否允许该应用 用说在网上购物和网上股票交易中使用的帐户，即便是在网络 的网络数据通过。如果用户作出了正确的选择，就可切断木马 游戏中的帐户，其拥有的虚拟物品也可以通过一些方式进行交 客户端与服务端的数据通信，防止用户机密信息的泄露；否则可 易，因此，网络上的帐户信息就具有了非常高的经济价值。木马 能会影响正常的网络应用或放行了木马程序的网络数据。存在 类程序由于可以窃取各种网络应用的帐户信息，从而被很多居 的另一个问题是网络数据过滤时往往需要人工的干预。 心不良的人采用各种技术手段进行传播，这给