_主动防御_思想在木马防范上的应用

计算机安全�� 2007.12
3.2 “主动防御“的优势
3.2.1 主动防御木马攻击 从操作系统入手，以主动防御方式保证了文件系统的 安全。对任意文件的改动、增加、删除等操作均需根据使 用者身份和强制访问控制策略进行裁决，从而杜绝了使用 （下转第 92 页）
82
服 务
实战指南
破解的。这样便确保了其他人不可能冒充，来通过身份认 证， 从而确保了个人权限范围内的数据只有自己才能访问。
病毒黑客
服 务
“主动防御”思想在木马防范上的应用
阮文锋
（广东电网公司阳江供电局，广东 阳江 529500） 摘 要：该文采用主动防御的思想，对操作系统和应用程序进程进行安全认证，从系统层面上主动防范未知木马的入侵。 关键词：木马；主动防御；进程控制 Abstract ： Active defense by the ideological, It should authenticated the process of the operating system and application In accordance with security strategy, Results achieved System level initiative in guarding against the unknown Trojan invasion. Key words：Trojan；Active defense；Process control
3 采用“主动防御”思想防范木马
通过上述对木马程序的原理进行分析， 我们能够发现， 不论木马怎样掩饰和伪装，都只有一个目的：伺机在系统 后台运行木马程序并且不被用户发现。现有的计算机病毒 防杀类产品，都基于“特异性”的被动防御，根据恶意代 码库的“特征库”进行“防、堵、杀” 。这种解决方式的 最大的弱点在于：只有在出现问题之后才能提出解决问题
来随着许多指纹识别产品已经开发和生产，指纹识别技术 的应用将越来越广泛，并且发展迅猛，相信这一技术的普 及应用已经指日可待。
6.2 该访问控制方法的缺点
（1）使用指纹特征值来进行自动身份认证，指纹特征 值个数一般为 40-50，而且每一个特征值具有 3 个参量， 数据量较大，增大了网上的传输量，这样需要较高的网络 带宽。但是随着网络技术的发展，网络带宽问题一定会得 到解决的，同时，为了更好地确保传输的安全性而付出的 这种代价是值得的。 （2） 由于指纹身份认证是在院内网络服务器上进行的， 这给负荷较大的院内网络服务器增加了不少的负担。 但是， 我们可以根据具体的情况，可以使用 3 层结构模式来设计 整个院内网络系统，将指纹身份认证放在应用服务器上进 行， 这样可以较好地解决这个问题。 总之，指纹认证技术不仅可以应用到院内网的安全问 题上，在其他方面也有广泛的应用，如，学期的考试系统， 人员管控系统等等。在这些应用中，指纹识别系统将会取 代或者补充许多大量使用照片和 I D 的系统。在不久的将
参考文献：
[1] 校园网络安全问题与对策 : H T T P : / / W W W . C Q V I P . C O M / Q K /98298A /200703/24723942. html [2] 基于指纹识别技术的 Web 访问控制 : H T T P : / / W W W . C Q V I P . C O M / Q K /97360A /200604/21093596. html [3] 凌捷 . 计算机数据安全技术 [ M ] . 北京：科学出版社， 2004.
3.1 防范思想
首先，在系统中采用强制访问控制策略，对系统中的 所有应用程序进行安全控制。访控策略中应该明确规定使 用者和应用程序的关系，只有经过授权的应用程序才能被 用户使用。访问控制策略只有具备管理员权限的用户才能 按照使用者的权限与应用程序间的关系进行策略设置，拥 有授权的用户登录后在访控策略许可的范围内运行与之权 限匹配的应用程序。策略配置完成后，计算机上不能任意 安装应用程序，只能运行访控策略许可的应用程序，从而 可以杜绝计算机感染木马的可能。 其次，在每次程序执行之前，都需要对程序执行安全 控制及文件一致性进行校验，保证只有在程序白名单中， 且通过完整性校验的程序能被系统运行；程序执行后只能 访问该程序授权的数据文件，这样即使木马进入系统，由 于没有被管理员授权许可，则木马程序永远不会被执行； 若木马篡改了系统的合法程序，由于程序在执行前都需要 进行完整性校验，如果校验值与系统中保存的校验值不一 致， 则拒绝执行该程序。这样木马就不会获得执行的机会， 不会在系统中发作，从根本上防止了木马软件的运行。 同时，系统需要具有自我保护功能。保护功能在计算 机上不以进程或服务形式运行，用户无法中止。另外，系统 守护进程监控终端保护软件的相关模块，发现非法篡改行 为立即恢复到受保护状态，防止终端保护软件被随意卸载。 保护程序需要安装在受保护的计算机终端，以无操作 界面的方式在后台运行，不影响用户的使用。
作者简介：任丹 （1976- ） ，硕士在读，研究方向为人工 智能，数字图象处理。 收稿日期：2007-08-22
（上接 82 页） 者任意修改、安装应用程序导致出现病毒的可能，也从根 本上杜绝了木马攻击的可能。 3.2.2 基于操作系统内核级的安全机制和控制 对操作系统的进程控制建立于操作系统内核级，杜绝 了旁路和隐通道，增强了系统安全性。文件系统采用中间 层驱动技术对关键数据进行安全保护。 在操作系统启动时自动装载强制访问控制策略，安全 策略应用时间早，能有效防止安全机制被旁路的风险。 3.2.3 基于中间层驱动技术的外设控制 采用中间层驱动技术，在协议层和硬件之间插入中间 层，在此基础上应采用驱动拦截技术和过滤技术。同时， 由于使用驱动拦截技术并不能实现对所有底层硬件驱动的 完全控制，所以应该在驱动拦截技术的基础上，增加完全 溶入系统内核的线程注入技术，将所需功能以可注入其他 应用程序或驱动程序地址空间的线程的方式实现，采用动 态嵌入技术将保护代码嵌入正在运行的进程中。
2.2 木马运行的必要条件
(1) 木马程序必须以文件的形式存在，不论是硬盘上 的文件，还是 U 盘或者互联网上的文件。总之，只要木 马在系统中运行，就必须以文件的形式存在并且这个文件 能被系统所访问。 (2) 木马必须获取系统的控制权，简单说就是木马要 使自己生效，激活，必须先运行程序本身。木马的运行跟 普通的程序没有什么不同的， 首先需要系统加载程序本身， 并对数据进行初始化后将控制权交给自己，这时木马才真 正开始执行。 根据以上的分析，可以看出，木马在任何情况下是不 可能对自身产生危害的，也就是说木马在没有执行的时候 是不具备任何威胁的，更不要说破坏力。那么我们要做的 就是加强系统的防护，减少木马运行的可能性，才能起到 预防木马的效果。
1 引言
随着中国电子商务逐渐迈入成长期，交易安全一直被 认为是制约中国电子商务发展的最大瓶颈，由病毒、木马 组成的“黑色产业链”严重制约着电子商务的快速发展。 据中国病毒应急处理中心的统计数据显示，从 2004 年 8 月到 2006 年 10 月间，全国感染各类网银木马及其变种的 用户数量增长了 600 倍之多，而通过木马窃取 Q Q 密码、 网游账户、电子支付口令、电子邮件账号等案例更是不胜 枚举。木马业已成为威胁交易安全的头号敌人。 反观我们目前的信息安全市场，仍然主要依靠防火 墙、入侵监测和杀毒软件这“老三样” 。随着“黑色产业 链”带来的巨大经济利益的诱惑，恶意软件制作的手段越 来越高明，导致我们的防火墙越砌越高、入侵检测越做越 复杂、恶意代码库越做越大，对木马的防范却没有达到相 应的安全效果。显然，这种基于“特异性”进行被动防御 的方式已不能跟上时代发展的要求，不能从根本上保护计 算机终端的安全。因此，笔者认为，在木马防范方面，我 们应该可以转换������������������ 一����������������� 下思路，变被动为主动，采用基于“非 特异性”的主动防御理念，对操作系统和应用程序的进程 特征进行“原始性、完整性”的安全认证，实现严格的进 程保护，构筑可信的应用操作平台和全程安全保护的可信 工作空间，打造电子商务的安全边界。
2.1 木马特性
2 木马分析
提起木马，大家一定会想起古希腊古老的故事，古希 腊人用自己的智慧，把士兵藏在木马内进入敌方城市从而 占领敌方城市的故事。而计算机世界中的木马，悄无声息 地潜入你的计算机，窃取你的密码及个人账户信息网民造成了巨 大的损失。木马为什么能造成如此大的破坏力 ? 现在让我
2007.12 ����� 计算机安全
81
服 务
病毒黑客
数进行过滤；而对于一般的函数调用，用函数转发器发送 给被替换的原系统 D L L；对于一些事先约定好的特殊情 况，被替换的 D L L 将会执行一些相应的操作。木马将自 己绑定在一个进程上进行操作。这种做法隐蔽性更强，因 为在系统中没有增加新的文件，不需要打开新的端口，不 增加新的进程，原有木马的检测方法对于采用这种技术的 木马就失效了。在系统正常运行过程中，木马没有任何症 状，而一旦木马的控制端向被控制端发出特定的信息后， 隐藏的木马进程就开始运行了。 2.1.2 自动运行性 木马为了控制系统， 它必须在系统启动时即跟随启动， 所以它必须潜入在系统的启动配置文件中，如 w i n . i n i、 system.ini、winstart.bat 以及启动组等文件之中。 2.1.3 具备自动恢复功能 现在很多的木马程序中的功能模块不再由单一的文件 组成，而是具有多重备份，可以相互恢复。当删除了其中 的一个，以为万事大吉又运行了其他程序的时候，谁知它 又悄然出现，像幽灵一样，防不胜防。
木马程序一般具有如下的几个特点： 2.1.1 隐蔽性 为了不在系统中显示，木马使用了 W i n d o w s 的中文 汉化软件中的陷阱技术，这种陷阱技术是一种针对 D L L 的高级编程技术，使木马摆脱了以前的端口监听模式。木 马采用替代系统功能的方法（修改 V X D 或 D L L） ，将修 改后的 D L L 替换系统中原有的 D L L，并对所有的调用函