9恶意代码检测与防范.pptxVIP

9恶意代码检测与防范;主要内容;恶意代码

主要是指以危害信息的安全等不良意图为目的的程序，它们一般潜伏在受害计算机系统中实施破坏或窃取信息。主要有计算机病毒、蠕虫、木马;都是人为编制的程序

对系统具有破坏性或威胁性

往往具有传染性、潜伏性、非授权执行性;网络成为计算机病毒传播的主要载体

网络蠕虫成为最主要和破坏力最大的病毒类型

与黑客技术相结合，出现带有明显病毒特征的木马或木马特征的病毒

?

主，木马病毒成为当前主流病毒;计算机病毒是一类具有寄生性、传染性、破坏性的程序代码，寄生性和传染性是病毒区别于其他恶意代码的本质特征

计算机病毒代码不能独立存在，必须插入到其他

?

如CIH;病毒的两种存在状态

静态：仅存在于文件中

激活：驻留内存，可以感染其他文件或磁盘

仅感染本机的文件

?

–

盘

–;不依附其他程序，而是一段独立的程序

通过网络把自身的拷贝传播给其它计算机

可以修改删除其他程序，也可能通过反复自我复制占尽网络或系统资源，造成拒绝服务;蠕虫程序的传播过程

扫描：蠕虫的扫描功能模块负责探测存在漏洞的主机，以便得到一个可传染的对象。

攻击：攻击模块自动攻击找到的可传染对象，;和应用程序捆绑

修改Windows系统注册表

例如：下面注册表中的某些键值

HLM\Software\Microsoft\Windows\CurrentVersion\RunHLM\Software\Microsoft\Windows\CurrentVersion\RunService

HCU\

修改文件关联

如冰河木马修改文本文件关联

HKEY_CL

下的键值Not;恶意代码防范，是指通过建立合理的病毒防范体系和制度，及时发现计算机病毒侵入，并采取有效的手段阻止计算机病毒的传播和破坏，从计算机中清除病毒代码，恢复受影响的计算机系统和数据。;及时备份重要数据和系统数据

关注漏洞公告，及时更新系统或安装补丁程序

新购置的机器、磁盘、软件使用前进行病毒检测

不要下载或使用来历不明的软件

升级更新，定期检测系统

打开防病毒软件的实时监控功能

建立严密的病毒监测体系，及早发现病毒，及时清除病毒;外观检测法

病毒侵入系统后会是系统表现出一些异常现象

根据异常现象判断病毒的存在

特征代码法

–

–

?

?;软件模拟法（虚拟机技术）

常用于检测多态型病毒

模拟CPU运行，在虚拟机下假执行病毒的变体引擎解码程序，安全的将多态病毒解码，再加以扫描，从而识别病毒。

行为监测法（启发式扫描技术）

–

–

注意：即使是最优秀的防毒软件也不可能检测出所有的病毒;反病毒措施

传统病毒不以文件独立存在，且传染性是其本质，主要破坏本地文件系统，因此主要采用安装反病毒软件防治，并打开文件系统实时保护功能

反蠕虫措施;3）反木马技术

木马的伪装和远程控制或通信是其本质，其防治主要采用以下方法：

安装反病毒软件

安装木马专杀工具

–

–;1、反病毒软件的选择指标

识别率：包括误报率和漏报率

检测速度：快速检测

2）对新病毒的反应能力：能查杀最新病毒;1、建立多层次的病毒防护体系

–在每个台式机上安装台式机的反病毒软件

–在服务器上安装基于服务器的反病毒软件

–在Internet网关上安装基于网关的反病毒软件。2、建立有效的防病毒措施

–

应用安全更新

–

–强化安全教育，增强用户自我防护意识;;