基于行为的恶意程序监测研究 .pdfVIP

维普资讯

计算机时代２００７年第１１期・１９・

基于行为的恶意程序监测研究

史培培，吕林，张明威，周维贵

武汉大学计算机学院，湖北武汉４３００７２）（

摘要：简要阐述了基于行为变化的研究方法，并通过ＣＰＵ使用率、内存使用率和程序运行时间三个变量建立监测恶意

程序的三维空间模型，讲述了三维空间建立的过程和监测进程的方法以及对特殊要求和行为建立的异常处理机制。最后

通过实例说明了这个空间模型的可行性。

关键词：恶意程序；信息安全；三维空间；行为变化

０引言的三维空问关系模型（图１）。这个三维空间模型将在下文作

粗略介绍，三个变量分别是ＣＰＵ使用率、内存使用率和监测

计算机安全，特别是网络安全状况不容乐观，大量的计算机

用户感染过计算机病毒。除了病毒、木马、蠕虫等恶意程序，现在时间。

的各种软件、程序也不可避免地存在漏洞，而汁算机用户每天都

要不同程度地使用这些软件、程序，一旦它们出现了运行错误，

轻则中断正常的工作或娱乐行为，重则导致用户大量宝贵数据

的丢失，造成极大损失。

因此，如何检测评价这些软件、程序，预防和发现恶意程

序，对于用户、整个计算机及网络的安全极其必要。本文对运行

时资源占用超标的程序进行分析，并借助对ＣＰＵ使用率、内存

占用率和运行时间的分析评价，建立起一个三维空问的关系

模型，并根据这个模型给程序打分，辨别善恶。对于恶意的以及

有危害的行为做出警报，以采取相应的措施。因为病毒等破坏

力较大的程序和有漏洞的软件、程序都有着破坏系统数据的性

质，故本文中将两者统称为恶意程序，并期望能找到两者更多

图ｌ三维空间关系模型图

的行为特性来指导我们的病毒防护和漏洞软件的预防。

１空间的１向量单位的选取

１程序的质量和恶意程序基于各种计算机本身的硬件环境不一样，所以我们对于相

对于软件设汁和编码来说，任何细小的疏忽以及未知的应ＣＰＵ和内存参数选取的是百分比。ＣＰＵ使用率大家非常习

情况都可能导致软件、程序存在漏洞。存在漏洞就存在安全隐惯了，而内存使用率，为被监测的进程的内存使用量与系统物

患。著名的Ｃ语言的溢出漏洞大家都知道，可惜还是很容易犯理内存的比值，并用百分数表示。需要指出的是，这里的三个变

这些错误。不过可喜的是，软件设计人员已经越来越注重软件量都只是正向向量，没有负向。

的安全问题了。除此之外，恶意程序本身带有的恶意行为代码，１．２异常空间和高危空间以及临界曲面、正常空间

更是对用户极大的威胁。因此，对程序进行监测是必要的。要定义上面的三维空问图中虚线表示的平面ＡＢＣ和平面

对程序进行性能分析和调试，前提条件是知道好的性能是什ＣＤＥ以及平面Ａ—ＢＣ’和平面Ｃ～ＤＥ’之问的空间为异常空间，在

么含义，或者是环境中怎样的性能是合理的。一般我们可以用这个空间分别往ＣＰＵ轴和Ｍｅｍｏ￣轴正方向扩展为高危空间。

系统资源的使用情况，即程序运行的主要行为表现来衡量程其中，Ｂ、Ｂ’、Ｄ、Ｄ’点是由常规良性程序行为与恶性程序行为比

序性能状态。较得到的阀值，结合用户的实际可以做相应的改动