基于云計算的病毒惡意軟件分析研究.pdf

1、目前反病毒軟件仍然是廣泛使用的檢測病毒惡意軟件的工具。然而傳統(tǒng)檢測方法的有效性一直被廣泛的質疑。由于傳統(tǒng)的檢測方法不能夠對新病毒和惡意軟件進行有效的查殺,同時其逐步提高的復雜性也導致了其本身也容易被惡意軟件攻擊。云計算的出現(xiàn)改變了這一現(xiàn)狀。
　　云計算是分布式計算,網格計算,效用計算,虛擬化技術等計算機技術和網絡技術發(fā)展融合的產物。它聚集大量計算機資源,通過互聯(lián)網向普通用戶提供各種IT服務,并按照使用量進行付費的一種模式。云計算可

2、以向終端用戶提供安全性的服務。云安全服務是指:使用大量的客戶端對網絡中軟件行為進行異常的監(jiān)測,得到網絡中木馬、蠕蟲等病毒惡意軟件最新的信息,然后將這些信息發(fā)送到云服務器端進行自動分析和處理,最后將這些病毒惡意軟件的解決方案發(fā)到每一個客戶端。
　　本文將基于云計算的檢測惡意軟件病毒的方法同機器學習中算法分析理論相結合,利用了一種新式的分布式的CFO算法。該算法類似于粒子群算法是新型的基于天體物理學的多維搜索啟發(fā)式算法,具有確定性的特

3、點,利用一組質子在萬有引力下的運動,在決策空間搜索最優(yōu)解,而這組質子依據萬有引力規(guī)則在空間移動。在本論文中對該算法進行了收斂性和正確性的證明,使得該算法的應用有了可靠地理論基礎。然后將該算法進一步進行改進提出了分布式的CFO算法。由于該算法確定性的特點,所以該算法特別適合于訓練神經網絡分類問題。本文在云計算分布式環(huán)境中訓練集成神經網絡作為靜態(tài)行為模式分類器,利用集成神經網絡將可疑病毒文件和正常的可執(zhí)行文件分類。
　　另外,本論文通

4、過最大獨立集優(yōu)化算法選擇云中的虛擬機結點,安裝商用殺毒軟件實現(xiàn)并行分布式的對可疑文件進行全面的檢測分析。同時利用云計算虛擬機結點的封閉式環(huán)境對可實現(xiàn)對病毒惡意軟件的動態(tài)行為監(jiān)測,在虛擬機封閉式的環(huán)境下觀察其系統(tǒng)調用的行為,確定是否是病毒惡意軟件。采用分布式波動PIF算法來形式化描述動態(tài)分析和分析報告返回的過程。依據分析的環(huán)境對波動算法進行相應的改進,也進一步提升了分析檢測的效率。
　　基于云計算平臺的特點,本論文提出了云中病毒惡意

5、軟件檢測模型的實施方案。與傳統(tǒng)的病毒檢測方法不同,該模型在每一個客戶端主機運行一個輕型的主機代理程序,獲取進入系統(tǒng)的可疑文件,發(fā)送這些文件到云端進行檢測分析,然后根據返回的分析報告決定是運行還是隔離。在云端,該模型充分利用云計算分布式并行計算的特點,采用最大獨立集算法優(yōu)化云網絡結構,選擇出分布式虛擬機結點,在結點上分別安裝不同的商用病毒惡意軟件的檢測引擎,用多個不同檢測引擎對病毒惡意軟件進行分布式的并行檢測分析,最后的分析報告是綜合了各

6、個檢測引擎的分析結果,發(fā)送給客戶端主機代理軟件。同時在基于云計算病毒惡意軟件檢測分析的服務中,對新的可疑文件還提供了兩個行為分析引擎——動態(tài)行為分析引擎和靜態(tài)行為分析引擎。
　　目前只能在單機系統(tǒng)中對病毒惡意軟件動態(tài)的分析一條程序執(zhí)行的路徑,誤報率很高。為此,本文提出了基于云計算的動態(tài)行為分析方案,該方案利用云計算分布式計算的特點,在云計算多個虛擬機結點上并行的完成對病毒惡意軟件多條執(zhí)行路徑的分析,對虛擬機中系統(tǒng)調用的監(jiān)控發(fā)現(xiàn)病毒

7、惡意軟件在特定的條件下觸發(fā)的惡意行為。采用PIF算法來形式化的描述可疑文件分析和報告返回的過程,對該算法的改進也同時提高了分析的效率,PIF算法是分布式算法特別適合在云計算環(huán)境中執(zhí)行。實驗結果表明,該模型能夠檢測出病毒惡意軟件的條件觸發(fā)行為,并且可以發(fā)現(xiàn)觸發(fā)惡意行為的條件和滿足這些條件的輸入數(shù)據,同時基于云計算的動態(tài)監(jiān)測的性能比普通單機系統(tǒng)有了較大的提升。
　　當前幾乎所有的對惡意代碼的靜態(tài)檢測都是采用基于簽名數(shù)據庫的方式。這種方

8、式導致了病毒惡意軟件可以使用一些比較簡單的方式來躲避檢測,比如代碼迷惑方式。針對這種情況,本文深入研究了集成神經網絡作為模式識別器在病毒惡意軟件靜態(tài)檢測中的應用,提出了一種基于云計算的靜態(tài)行為檢測的方式。與傳統(tǒng)通過動態(tài)執(zhí)行方法去獲取系統(tǒng)調用序列不同,該方法通過基于 n-grams的特征提取方法得到系統(tǒng)調用序列,使用特征提取和選擇的算法得到可疑文件特征向量,作為訓練測試的輸入數(shù)據。通過對一種新式CFO算法進行比較詳細的理論分析研究,在此基