基于行為監(jiān)測(cè)的Anti-R-Bootkit的研究與實(shí)現(xiàn).pdf

1、Rootkit是一種新型的惡意程序程序或程序集，設(shè)計(jì)的目的是用來(lái)秘密的控制被攻占的計(jì)算機(jī)的行為。通過(guò)隱蔽后門(mén)程序或其他類(lèi)似的工具程序，使得這些工具程序能在指定計(jì)算機(jī)上長(zhǎng)期非法存在；同時(shí)當(dāng)用戶(hù)查詢(xún)計(jì)算機(jī)的當(dāng)前狀況時(shí)，通過(guò)隱藏相關(guān)信息的方法來(lái)欺騙用戶(hù)，使用戶(hù)相信此計(jì)算機(jī)未受到侵害。Bootkit是繼承自Rootkit內(nèi)核權(quán)限獲取和自我痕跡擦除技術(shù)的Rootkit高級(jí)發(fā)展形式，對(duì)系統(tǒng)啟動(dòng)和內(nèi)核準(zhǔn)入安全提出了最新挑戰(zhàn)。由于Rootkit/Boo

2、tkit(R/Bootkit)屬于信息安全攻防的新型技術(shù)亮點(diǎn)和潛在的危險(xiǎn)變種，當(dāng)前業(yè)界和學(xué)術(shù)界競(jìng)相公布出各自富有特色研究項(xiàng)目。 本文的主要工作和特色如下： 1.B/Rootkit行為剖析以及預(yù)防監(jiān)測(cè)的技術(shù)瓶頸的提出 深入探索當(dāng)前主流B/Rootkit的危害原理以及技術(shù)要點(diǎn)實(shí)現(xiàn)，以及主流Anti-R/Bootkit在行為判斷上過(guò)多依賴(lài)用戶(hù)選擇的現(xiàn)狀，指出了惡意進(jìn)駐內(nèi)核這個(gè)行為特征提取是Bootkti/Rootkit

3、防范與檢測(cè)的技術(shù)瓶頸。 2.行為特征的形式化描述語(yǔ)言的提出 為了統(tǒng)一且完整描述R/Bootkit的各種行為以及子行為彼此間內(nèi)在的關(guān)聯(lián)關(guān)系，我們定義出形式化描述語(yǔ)言規(guī)范，以描述出該惡意行為特征。 3.基于惡意進(jìn)駐內(nèi)核行為特征的Anti-R/Bootkit原型系統(tǒng)的設(shè)計(jì)與實(shí)現(xiàn) 在此基礎(chǔ)上，利用該形式化描述語(yǔ)言規(guī)范和行為策略，我們?cè)O(shè)計(jì)并實(shí)現(xiàn)了一個(gè)基于惡意進(jìn)駐內(nèi)核行為特征的Anti-R/Bootkit原型系統(tǒng)。在