基于用户意图的网络流量授权安全框架.pdfVIP

2016 年 1 月第1 期 小型微型计算机系统 Vol. 37 No.l 2016 Journal of Chinese Computer Systems 基于用户意图的网络流量授权安全框架 刘哲元，徐隽，汪兴，高辉 (公安部第三研究所特种技术事业部，上海 201204 ) E-mail: liuzheyuan@ 摘 要:恶意软件对主机安全工具的威胁促使我们考虑借助虚拟化技术来提升安全系统的权限.本文提出了一种检测和阻止 恶意软件伪装成合法程序发送非法数据流的方法，并基于虚拟机自省技术建立了安全框架，实现了以下三个方面的功能:首先， 模型提供了对主机应用程序与用户交互的安全监控，通过对用户真正意图的捕捉与分析，检测和阻止被恶意软件伪装离开主机 的网络数据流;其次，通过对虚拟机自省和内存分析技术的应用，并基于用户输入事件，保证了对程序预测行为的精确判断;最 后，通过系统实现证实了模型对Windows 下 E 浏览器应用程序的兼容性. 关键词:虚拟机自省;用户意图;网络数据流;安全框架 中圄分类号:1凹93 文献标识码:A 文章编号:1仪lO-1220( 2016 jOl -0 114-05 Security Framework for Traftic Authorization ßased on User Intent LIU Zhe-yuan ,XU Jun ,WANG Xing ,GAO Hui {币le 白山d Research Institute of Minis町 of Public Security ,Shanghai 201204 ,China) Abstract :Aiming to reconsider how to design and implement sy如ms for security purposes based on virtualization 也chnology ， a 阳山­ ity framework for supporting the security policies which consider the user intent in determining the legitimacy of network traffic leav- ing the host is presen能d. We use both virtual machine introspection and memory analysis to determine the expec也d application behav- ior based on user input events. The experiments with Intemet Explorer demons国旬出e viability of the 企amework s support for Win- dows applications. Key words: virtual machine introspection; user in能nt ;network traffic; security framework 络流.我们定义集合阳为受监控的网络协议事件，如HTfP 1 前言 GET 请求或SMTP 邮件发送;定义序列 H 为硬件输入事件， 计算机在遭受入侵之后经常会被加入僵尸网络，成为攻击 如键盘输入或鼠标点击.对于每个网络事件 ne E NE， 需要确 者实施恶意活动的人口，如发动DDoS攻击、点击欺诈等.通常情 定它是由用户输入还是其他自动方式生成的，相当于寻找一 况下，盟别合法用户与恶意用户所产生的网络流异常困难，因为 些子序列HjCH使得: