Linux系统中基于多路径的恶意行为规范挖掘.PDFVIP

计 算 机 系 统 应 用 2010 第 19卷 第 9 期 Linux 系统中基于多路径的恶意行为规范挖掘① 刘琳爽 缪 力 (湖南大学 软件学院 湖南 长沙 410082) 要： Linux 意代码检测是Linux 安全框架的一个重要组成部分。大多数现存的依照特征进行检测的方法 通常落后于 意代码的发展，已经不能满足日益迫切的安全需求，而基于行为的检测器往往需要高质 量的 意行为规范。使用了一种基于系统调用的自动挖掘规范技术，并在此基础上开发 意代码的多 执行路径，使其规范更详细更全面，从而提高检测器的检测率。 关键词： Linux 意代码;行为规范; 自动挖掘;多执行路径 Mining Specifications of Malicious Behaviors Based on Multiple Paths in Linux LIU Lin-Shuang, MIAO Li (Department of Software, Hunan University, Changsha 410082, China) Abstract: The malware detection is one of the important parts in a secure Linux frame ．Most existing malware detection methods are based on the signature and generally leave behind the development of the malware technology, which cannot meet the ever increaing needs of security. Behavior-based detectors require high-quality specifications of malicious behavior. This paper introduces an automatic technique to mine specifications of malicious behavior based on system calls and explores multiple execution paths for malware specifications, which helps the specifications to be more specific and more comprehensive, and improves the rate of detection of the behavior-based detectors. Keywords: Linux malicious code; specifications of behavior; automatic mining; multiple paths 1 引言 上进行恶意代码的多执行路径开发，能自动构造更全 随着互联网的蓬勃发展，Linux 操作系统使用的 面的系统调用依赖图、生成更详细的规范，从而检测 普及，针对 Linux 操作系统的病毒和攻击程序也随之 更多的恶意代码。 不断出现，急需一种有效的方法来对各种恶意程序做 出主动响应和防御。目前大多数防病毒软件采用的策 2 Linux系统调用机制和Strace工具 略都是依据恶意代码的特征来检测和查杀，因而对大 在Linux 操作系统中，系统调用实际上就是用户 [1] 程序和操作系统的一个接口。Linux 操作系统出于保 多数新产生或使用模糊变换技术 的恶意代码都无能 为力，防御手段严重滞后于攻击手段。新一代的病毒 护的目的，区分开了用户空间和内核空间，操作系统 防