基于主机行为特征的恶意软件检测方法

合集下载

相关主题

1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。

行检测。Ｇｕ等人实现的ＢｏｔＭｉｎｅｒ系统，是基于感染主机在流特征、行为特征的相似，系统包含Ａ－ｐｌａｎｅ与Ｃ－ｐｌａｎｅ两个方
０引言
僵尸、木马等恶意软件已成为互联网用户的最大安全威胁，不法分子通过这些软件控制感染主机从事各种恶意活动，如窃取用户敏感信息、发送垃圾邮件等。随着经济利益的驱
动，各种恶意软件及其变种层出不穷，对传统基于特征匹配检
ＺＨＡＮＧＹｏｎｇ — ｂｉｎ，ＺＨＡＮＧＹａｎ・ｎｉｎｇ
（ＳｃｈｏｏｌｏｆＣｏｍｐｕｔｅｒＳｃｉｅｎｃｅ，ＮｏｒｔｈｗｅｓｔｅｒｎＰｏｌｙｔｅｃｈｎｉｃａｌＵｎｉｖｅｒｓｉｔｙ，Ｘｉ ’ ａｎ７１０１２９，Ｃｈｉｎａ）
ｄｏｉ：１０．３９６９／ｊ．ｉｓｓｎ．１００１－３６９５．２０１４．０２．０５４
Ｍａｌｗａｒｅｄｅｔｅｃｔｉｏｎｂｙｍｏｎｉｔｏｒｉｎｇｈｏｓｔ ’ Ｓａｃｔｉｖｉｔｉｅｓ
第３１卷第２期２０１４年２月
计算机应用研究
ＡｐｐｌｉｃａｔｉｏｎＲｅｓｅａｒｃｈｏｆＣｏｍｐｕｔｅｒｓ
Ｖ０ｌ＿３１Ｎｏ．２Ｆｅｂ．２０１４
基于主机行为特征的恶意软件检测方法
张永斌，张艳宁
（西北工业大学计算机学院，西安７１０１２９）摘要：针对僵尸、远控木马等恶意软件检测问题，提出一种基于主机行为的异常检测模型。该模型通过持续
性分析算法，判断主机与外部特定目标的通信行为是否具有周期性或连续性，提取出可疑的网络行为，并根据网络行为的触发、启动等异常检测规则对这些可疑的网络行为进行分析，判断主机是否感染恶意软件。实验结果
பைடு நூலகம்
Ａｂｓｔｒａｃｔ：Ｔｏｄｅｔｅｃｔｍａｌｗａｒｅｓｕｃｈａｓｂｏｔａｎｄｔｒｏｊａｎ，ｔｈｉｓｐａｐｅｒｐｒｏｐｏｓｅｄａｍｅｔｈｏｄｂａｓｅｄｏｎｉｎｈｅｒｅｎｔａｃｔｉｖｉｔｉｅｓｏｆｃｏｍｐｒｏ —
目前，基于网络特征的检测方法主要是针对僵尸网络检测的，由于僵尸程序具有很强的传染能力，很多研究采用感染主
机的组行为特征对僵尸网络进行检测。例如，Ｙｅｎ等人提出
ＴＡＭＤ检测方法，该方法通过感染主机在请求外部目标、通信
报文有效载荷内容、主机操作系统等方面相似，对僵尸网络进
ｍｉｓｅｄｈｏｓｔｓ．Ｔｈｉｓｍｅｔｈｏｄｉｄｅｎｔｉｉｆｅｄｓｕｓｐｉｃｉｏｕｓｎｅｔｗｏｒｋｔｒａｆｆｉｃｔｈｒｏｕｇｈｐｅｒｓｉｓｔｅｎｔａｒｉｔｈｍｅｔｉｃｔｈａｔｍｅａｓｕｒｅｄｉｆｈｏｓｔｓｈａｄｔｅｍｐｏｒａｌｒｅｇｕｌａｒｉｔｙｗｈｅｎｃｏｍｍｕｎｉｃａｔｉｎｇｗｉｔｈｏｔｈｅｒｈｏｓｔｓ，ａｎｄａｎａｌｙｚｅｄｓｕｓｐｉｃｉｏｕｓｎｅｔｗｏｒｋｔｒａｆｆｉｃｔｈｒｏｕｇｈｒｕｌｅｓｏｆｕｓｅｒｄｒｉｖｅｎａｃｔｉｖｉｔｉｅｓａｎｄｏｃｃｕｒｒｉｎｇｍｏｍｅｎｔｓｔｏｄｅｔｅｃｔｃｏｍｐｒｏｍｉｓｅｄｈｏｓｔｓ．Ｔｈｅｒｅｓｕｈｓｓｈｏｗｔｈａｔｔｈｅｓｙｓｔｅｍｃａｎａｃｃｕｒａｔｅｌｙｄｅｔｅｃｔｃｏｍｐｒｏｍｉｓｅｄｈｏｓｔｓ
表明，该模型可有效检测出感染恶意软件的主机，并具有很低误报率。
关键词：网络安全；恶意软件；僵尸网络；木马
中图分类号：ＴＰ３９３．０８
文献标志码：Ａ
文章编号：１００１．３６９５（２０１４）０２ — ０５４７ — ０４
ｗｉｔｈｌｏｗｅｒｒｏｒｒａｔｅｓ．
Ｋｅｙｗｏｒｄｓ：ｎｅｔｗｏｒｋｓｅｃｕｉｒｔｙ；ｍａｌｗａｒｅ；ｂｏｔｎｅｔ；ｔｒｏｊａｎ
发现网络中已感染恶意软件的主机。