基于VMM的程序行为异常检测.pdfVIP

丁 1 8 I 技研学术. Technologγ Research 基于 VMM 的程序行为异常检测* 蒋传勇川， 姚立红11.3 ， 潘理1.2 ( ， 上海交通大学电子信息与电气工辍学院.上海 2∞240; 2 上海市信息安全综合管理技术研究囊点实验室.上海 2(脱40; 南京大学计算机软件新技术国家重点实验室.江苏南京21ω3) [摘 要]虚拟饥监视器( Vi民ual Machine Monilor , VMM)具有强隔离性、商透明性的特点，而程序行为具有稳定和易于检测的 属性。提出了一种基于 VMM 的程序行为异常检测模型，该模型背先从 VMM 中捕获程序行为产生的底层数据，通过分析对 进程行为视图重构，然后结合防护检查点，采用基于 C4.5 决策树算法对所Ji:构的程序行为视图数据进行动态综合分析和判 定，以此检测异常并警告。 簸后基于 QEMU 对检测模型进行实现并分析，结果表明该模型能有效检测斤1 程序的异常行为。 [关键词]虚拟饥监视错;程序行为;C4.5 决策树 [中图分类号) TP3ω5 [文章编号) 1α)9-8054(2016)03-0118-05 [文就标志码)A Abnonnality Det配tion of Program Behavior by Using VMM l 2J l 2 JIANG Chuang-yong.2 ,YAO Li -hong . . ,PAN Li . ( I Sch∞1 of Electronic Information and Electrical Engineeri吨， Shanghai Jiaotong University , Shanghai 2∞240， China; 2Key Lab of Integrated Management of Information Security ,Shanghai 2α)240 ， China; 3State Key Lab. for Novel Softwar哩 Technology ， Na时ing University , Nanjing Jiangsu 2 1 ∞93 ， China) [ Abstract ) Considering Ihal VMM (Virtual Machine Monilor) has Ihe characlerislics of 到rong isolalion and high lransparency , while pro伊m behavior which is stahle and ωsy 10 be detecled , a VMM-ba睡d behavior-ahnormalily deleclion model is pro阿ed. 币le mod- el could capture low-Ievel data from Ihe VMM layer and reconstruct Ihem as up-Ievel informalion , Ihen aulomatically carηoul com- P陀hensive analysis on program 悦havior in combinalion of Ihe proleclive checkpoints and C4.5 decision lree algorilhm. Ihus 10 delecl abnormal behaviors and give Ihe waming. By using QEMU as VMM , Ihe model is designed and implemenled. and Ihe experiment 陀­