网络安全高级编程技术zw14.doc

第14章 基于特征码的恶意代码检测系统的设计与实现 14.1编程训练目的与要求 14.2相关背景知识 14.2.1恶意代码的定义与分类 1. 恶意代码的定义 2. 恶意代码的分类 14.2.2可执行文件结构介绍 1. ELF文件 图14-1ELF文件格式结构示意图 2. PE文件 图14-2PE文件格式 14.2.3恶意代码检测技术与发展趋势 1. 恶意代码检测部署方式 2. 恶意代码检测技术功能分类 图14-3恶意代码检测技术的技术组件与分析组件结构示意图 3. 恶意代码检查数据类型分析 4. 现有检测技术的缺陷及未来发展趋势 14.2.4开源恶意代码检测系统Clam AntiVirus 1. 简介 2. Clam AntiVirus的特征码格式 3. BM特征码匹配算法 图14-4BM算法匹配示意图 4. AC特征码匹配算法 图14-5AC算法模式树 图14-6模式树构造 14.3实例编程练习 14.3.1编程练习要求 14.3.2编程训练设计与分析 图14-7ClamScan恶意代码检测流程图 1. 相关数据结构 2. 病毒库导入 3. AC特征码匹配算法初始化 4. AC特征码匹配算法匹配查找 5. A-C算法的扫描匹配函数 6. B-M算法的扫描匹配函数 14.4扩展与提高 14.4.1使用Clam AntiVirus扫描邮件 14.4.2基于可信计算技术的恶意代码主动防御技术 1. 当前信息安全系统存在的问题 2. 可信计算技术 图14-8可信计算平台通用结构 图14-9TPM的内部结构 参考文献 [1]R.L.Rivest，A.Shamir，L.Adleman. A Method for Obtaining Digital Signatures and Public-Key Cryptosystems. Communications of the ACM 21 (2)，1978 [2]Christian Kreibich，Jon Crowcroft. Honeycomb: creating intrusion detection signatures using honeypots. ACM SIGCOMM Computer Communication Review，2004 [3]Lance Spitzner. Honeypots: Catching the insider threat. Computer Security Applications Conference，2003， Proceedings. 19th Annual [4]David Moore，Colleen Shannon，Douglas J. Brown，etc. Inferring Internet denial-of-service activity. ACM Transactions on Computer Systems (TOCS)，2006 [5]Treshansky Allyn，McGraw Robert. An overview of clustering algorithms. Proceedings of SPIE-The International Society for Optical Engineering [C]，2001 [6]Lee Garber. Denial-of-service attacks rip the Internet. Computer，2000 [7]James F. Kurose，Keith W. Ross. Computer Networking: A Top-Down Approach Featuring the Internet (3rd Edition). Addison Wesley，2005 [8]W.Richard Stevens. TCP/IP Illustrated Volume 1: The Protocols. Addison Wesley，1996 [9]Klaus Wehrle，etc. The Linux Networking Architecture: Design and Implementation of Network Protocols in the Linux Kernel. Prentice Hall，2004 [10]Christian Benvenuti. Understanding Linux Network Internals. O’reilly Media Inc，2005 [11]Thomas H.Cormen，Charles E.Leiserson，Ronald L.Rivest，Clifford S