恶意代码行为提取及分类系统-软件工程专业论文.docx

Classified Index: TP311 U.D.C: 620 Dissertation for the Master’s Degree in Engineering MALICIOUS CODE BEHAVIOR EXTRACTION AND CLASSIFICATION SYSTEM Candidate： Wang Wei Supervisor： Professor Zhang Hongli Associate Supervisor: Senior Engineer Xiao Xinguang Academic Degree Applied for： Master of Engineering Speciality： Software Engineering Affiliation： School of Software Date of Defence： June, 2011 Degree-Conferring-Institution： Harbin Institute of Technology 摘 要 近年来，随着互联网技术的兴起，恶意代码也随之泛滥成灾，使企业或个人 的计算机安全受到严重威胁，窃密、盗号、网络欺诈事件频频发生，经济利益受 到严重损失[1]。面对每日捕获到如此庞大的恶意代码样本，如何进行有效的判定、 分类和评估，成为反病毒厂商长期探索的方向，也是当下技术研究的热点。 本系统尝试解决以上问题，从恶意代码动态分析的行为事件中进行聚类、归 纳，并结合反病毒工程师的经验筛选预处理后，形成一系列检测点，最终根据这 些检测点，建立模型，分别对决策树、神经网络、贝叶斯等流行数据挖掘技术建 立模型，并训练测试，经过横向对比，认为朴素贝叶斯算法最为适合本需求，其 达到了 99%以上的未知判定的准确率，已经达到实验室后端样本分析和自动化判 定的上线要求。 另外，本系统还从恶意代码的五个方面进行归类分级，分别从感染性、窃密 性、主机破坏性、网络资源影响性和主机资源影响性五个方面对恶意代码进行不 同维度的评估，并提出评估的标准。通过恶意代码行为分析的数据进一步提炼， 成为恶意代码库的分类依据中的一个标准。 系统在实现的过程，引入了 kvm 虚拟机用以提取恶意代码时的运行环境， 并针对其编写自动化调度模型。系统为了有效描述恶意代码的诸多属性，并提供 良好的扩展性。 本系统属于公司主要研发项目，目前已经正式投入到生产线中，在自动化行 为提取功能的基础上，对恶意代码未知检测和分类管理方面，取得到很大的成效。 关键词：恶意代码; 行为分析; 病毒分类; 数据挖掘; 决策树 Abstract In recent years, with the rapid development of Internet technology, malicious code number also flooded in the internet, so that enterprises or individuals’s security is under a serious situation: threat of computer security, theft, hacking, phishing. It cause serious loss of economic interests. Captured such a huge of malicious code samples in anti-virus company in one day，the engineers must face the problem: how to determine, classification and evaluation it’s behavior, it becomes a anti-virus engineer’s long-term research technology. The system attempts to solve the problems above, from the dynamic analysis of the behavior of malicious code incidents clustering, induction, and a nti-virus engineer with experience in preprocess, the formation of a series of test points, the end point according to these tests, model building, respectively, on decision trees,