基于完整性验证的Windows rootkit检测模型的开题报告 .pdfVIP

基于完整性验证的Windowsrootkit检测模型的开

题报告

一、选题背景

随着互联网和计算机技术的不断发展，系统安全问题越来越得到重

视。恶意攻击者通过各种手段入侵系统，其中，rootkit是一种非常危险

的攻击方式。它能够完全隐藏在系统内部，对于常规的安全软件难以检

测到。

如何对Windows系统进行rootkit检测是当前研究热点之一，目前已

经出现了一些基于反病毒软件和基于内核钩子的检测方法。然而，这些

方法都有其局限性，例如因为不完整性验证而无法检测到所有rootkit。

因此，本文提出一种基于完整性验证的Windowsrootkit检测模型，

旨在提高rootkit检测的准确性和可靠性。

二、研究内容和方法

本模型基于完整性验证的原理，通过监测系统和应用程序的代码和

数据的完整性来检测rootkit。具体来说，本模型将建立以下检测方法：

1.监测文件完整性：检测文件系统中已有文件的完整性和新添加文

件的合法性，通过对文件的哈希值进行比对来实现。

2.监测进程完整性：检测进程的代码段和数据段的完整性，通过对

进程的内存镜像进行分析来实现。

3.监测系统核心完整性：检测系统核心代码和数据的完整性，通过

对内核代码和数据的哈希值进行比对来实现。

4.安全事件监测：基于以上三个检测方法，实现对系统安全事件的

实时监测，当检测到异常情况时，立即发出警报。

本模型将采用以下方法来实现：

1.利用WindowsAPI函数和WMI接口实现对文件、进程和系统的

完整性监测；

2.利用ring0和ring3两种方式实现对内核的检测，其中ring0是指

内核模式，而ring3是指用户模式。

三、预期结果和意义

本研究预计能够实现对Windows系统rootkit的全面检测。将所提出

的基于完整性验证的检测模型与现有的检测方法进行对比，可以发现该

模型具有更高的准确性和可靠性。

该模型的应用可使企业和个人用户更好地保障自身系统的安全，避

免遭受rootkit攻击。此外，本模型还可用于加强恶意软件的检测和防范，

更好地保障用户在线安全。