云安全环境下的意代码前端检测技术研究.pdf

云安全环境下的恶意代码前端检测技术研究 摘 要 当前网络环境下，计算机病毒的迅速演化导致了反病毒技术的不断发展， 反病毒史上病毒查杀技术层出不穷，其中传统的特征码技术是最基础的技术。 特征码技术主要是将被测程序具有的特征与特征库中已知的特征进行匹配，从 而实现对病毒的检测。但是，病毒的发展也给传统的特征码技术带来了新的挑 战。特征码技术的滞后性使得特征杀毒方法落后于病毒的产生，对于病毒库中 不存在特征的未知病毒无法进行有效检测。 随着云安全技术的发展并广泛运用于实际中，反病毒技术也拥有着更大的 发展空间，行为分析技术因为能够识别未知恶意代码，而成为反病毒领域的研 究热点。对病毒进行行为分析之前必须要确定它所具备的动态行为规则（特征）， 本文引入了病毒在植入、安装以及运行等阶段的 35 种行为特征。借用特征向量 的形式对这35 种行为特征进行描述，并在此基础上设计实现捕获恶意行为的方 法。 本文针对样本程序的动态行为特征建立分类算法，并根据训练样本多个属 性的取值设计学习器，使算法能够更好地对样本进行分类。而且，根据恶意代 码的黑白检测与黑灰检测技术，分别提出了基于最小距离分类器的黑白检测模 型以及基于AdaBoost 分类器的黑灰检测模型，并使用这两种模型对样本进行分 类。实验结果表明经过改进的最小距离分类器除了良好的分类精度外，其计算 代价较其它非线性方法也要小得多，因此该模型在实际的反病毒工作中有较高 的实用价值，而且AdaBoost 分类器对降低灰名单样本的误报率效果显著。 此外，本文设计并实现了恶意代码样本自动行为分析系统，有效解决了海 量样本上报处理问题，该联机处理系统以虚拟机控制技术为基础，很好地满足 了海量样本的分析需求。 关键词：云安全；恶意代码；行为分析；最小距离分类器；自动行为分析系统； Research of the malicious code front-end detection technology in the Cloud security environment Abstract In current network environment, the rapid evolution of computer viruses has led to the development of anti-virus technology. Anti-virus technology has appeared one by one, in which attribute code method is the most traditional one. Attribute code method detects viruses by matching the features between the test program and the database which contains the known features. However, the development of viruses has brought new challenges to traditional attribute code method. The hysteresis quality of this method makes virus detection lag behind its appearance. This method cannot effectively detect the unknown virus whose characteristics do not exist in the virus database. With the development of cloud security technology and its wide use in practice, anti-virus technology has a larger development space. And behavior analysis technology is particula