基于新型病毒主动防御技术与检测算法的研究.docVIP

基于新型病毒主动防御技术与检测算法的研究 　　摘要：本文在主动防御技术、行为拦截工具、病毒行为分析和模式识别技术的基础上，提出了新型的以用户行为模式为核心的主动防御策略。这种策略不局限于恶意程序的繁衍和变迁，在虚拟执行环境下进行了实验，结论表明，该策略对未知病毒有较高的识别能力。 　　Abstract: Based on the proactive detection technology, behavior blockers, virus behavior analysis and pattern recognition technology, the paper proposed the proactive detection strategy which centered by user behavior pattern. This strategy is not limited to the proliferation of malicious programs and change. According to the experiment under the virtual execution environment, this strategy has higher recognition ability to unknown virus. 　　关键词：主动防御；模式识别；行为模式；虚拟执行 　　Key words: proactive detection; pattern recognition; pattern of behavior; virtual execution 　　中图分类号：TP31 文献标识码：A文章编号：1006-4311（2011）03-0174-01 　　 　　0引言 　　恶意程序通常是指带有攻击意图所编写的一段程序。这些威胁可以分成两个类别：需要宿主程序的威胁和彼此独立的威胁。 　　病毒行为分析技术是对未知病毒查杀问题的一种解决方案。由于行为分析技术是基于程序的行为特征进行判断，属于一种模糊判别。因此，行为分析不可避免的会遇到误判的问题。 　　1主动防御技术 　　主动防御是一种阻止恶意程序执行的技术。它比较好的弥补了传统杀毒软件采用“特征码查杀”和“监控”相对滞后的技术弱点，可以在病毒发作时进行主动而有效的全面防范，从技术层面上有效应对未知病毒的肆虐。 　　由于传统的基于病毒库扫描的反病毒软件都是很被动的，只能在新病毒出现之后才能有应付措施，即杀毒软件的滞后性，而主动防御却很好的解决了这个问题。主动防御技术主要是针对未知病毒提出来的病毒防杀技术，在没有病毒样本的情况下，对病毒进行全面而有效的全面防护，阻止病毒的运作，从技术层面上有效应对未知病毒的肆虐，一是在未知病毒和未知程序方面，通过“行为判断”技术识别大部分未被截获的未知病毒和变种。另一方面，通过对漏洞攻击行为进行监测，这样可防止病毒利用系统漏洞对其它计算机进行攻击，从而阻止病毒的爆发。 　　根据反病毒行业长期的经验可以知道，同家族的恶意程序的执行行为存在共同的模式，称之为行为模式。对程序执行行为进行关联性分析，识别同类程序的行为模式的技术，称之为行为分析技术。 　　当前的行为分析技术是发现和识别各个恶意软件家族的行为模式，并根据这些模式发现和判断未知病毒。但是如果通过学习恶意程序的行为模式来提升防护能力，仍然属于被动防御。为此，本文提出一种新型防御策略：针对用户行为模式的主动防御策略。系统通过监控用户的正常操作，识别了用户的执行模式。如果符合用户行为模式，则表明系统正常，否则证明系统感染病毒。 　　2行为拦截工具 　　行为拦截工具是在应用程序执行时分析其行为，并封锁任何危险活动的程序。其主要工作原理是分析所有执行于系统中的处理程序行为，并将所有对档案系统与登录档案作出变更的行为资讯储存起来。 　　行为拦截工具具有一定的控制应用程序与Microsoft Windows系统登录的完整性的能力。封锁工具会监控针对注册机码所进行的变更，并可定义不同应用程序对注册机码的存取权限规则。因此便可在检测到系统中危险的活动，或甚至当未知的程序执行恶意活动后，恢复变更，借以还原系统至感染前的状态。行为拦截工具较为少见。卡巴斯基实验室产品中的Proactive Defense Module（主动防御模块）便是有效的新时代行为拦截工具之其中一例。 　　行为拦截工具可预防已知及未知病毒扩散，这是此类防护方式的优势。但是其缺点：部分正常程序的行为可能被辨识为可疑动作。此外，决定应用程序是否具有恶意，尚需要使用者输入，这代表使用者必须具备足够的知识。现存的主动防御技术本身不足以确保高恶意程序的检测率，此外，较高的检测率也伴随着