WindowsNT進(jìn)程惡意行為檢測(cè)技術(shù)的研究與實(shí)現(xiàn).pdf

1、近幾年,隨著計(jì)算機(jī)知識(shí)的普及,各種黑客教程、木馬生成機(jī)、病毒生成機(jī)的日益公開化,特別是惡意軟件源代碼的公開,使惡意軟件的數(shù)量急劇增長(zhǎng),給計(jì)算機(jī)安全帶來了極大威脅。
　　 反惡意軟件領(lǐng)域的防范措施主要依靠的仍然是傳統(tǒng)的基于特征碼的掃描技術(shù)。特征碼技術(shù)就是指用靜態(tài)的、依賴領(lǐng)域?qū)＜覀€(gè)人能力的特征提取方法來描述惡意軟件。也就是說,每當(dāng)出現(xiàn)一種新的惡意軟件后,需要找到唯一能區(qū)分它的特征碼。這種方法的優(yōu)點(diǎn)是準(zhǔn)確度高,但缺點(diǎn)是要維護(hù)日益增長(zhǎng)的

2、特征庫和對(duì)人的高依賴性。由此,人們引進(jìn)了其它檢測(cè)技術(shù),如虛擬機(jī)技術(shù)、啟發(fā)式檢測(cè)技術(shù)、主動(dòng)防御技術(shù)等。
　　 針對(duì)當(dāng)前惡意軟件檢測(cè)技術(shù)的不足,本文研究了windowsNT環(huán)境下以進(jìn)程行為為基礎(chǔ)的惡意軟件檢測(cè)技術(shù)。分析了系統(tǒng)內(nèi)進(jìn)程可能產(chǎn)生的關(guān)鍵行為,并依據(jù)進(jìn)程行為的關(guān)聯(lián)性,建立了常見惡意軟件行為模型。通過對(duì)Biba完整性模型的分析,本文建立了一個(gè)適用于進(jìn)程行為分析的完整性模型,并將其結(jié)合到進(jìn)程行為檢測(cè)系統(tǒng)中。
　　 本文通過