基于網(wǎng)絡(luò)行為分析的單機(jī)木馬檢測(cè)技術(shù)的研究與實(shí)現(xiàn).pdf

1、隨著計(jì)算機(jī)網(wǎng)絡(luò)的不斷發(fā)展，網(wǎng)絡(luò)安全問題也漸漸浮現(xiàn)。作為黑客主要進(jìn)攻手段之一的木馬，也在迅速發(fā)展更新。傳統(tǒng)的木馬偵測(cè)手段在木馬落地并且植入系統(tǒng)之后，檢測(cè)率便會(huì)大大下降，因此如何檢測(cè)已經(jīng)被植入并且隱藏在系統(tǒng)中的木馬，是一個(gè)值得關(guān)注的安全問題。
　　本研究首先介紹了木馬的攻擊手段和隱藏技術(shù)，并通過分析傳統(tǒng)的木馬檢測(cè)技術(shù)在現(xiàn)階段的應(yīng)用和特點(diǎn)，得出傳統(tǒng)木馬檢測(cè)技術(shù)的優(yōu)勢(shì)與局限性，提出了基于網(wǎng)絡(luò)行為分析的木馬檢測(cè)技術(shù)的研究思路，設(shè)計(jì)了一種從網(wǎng)

2、絡(luò)行為檢測(cè)到本地文件溯源的檢測(cè)架構(gòu)。其次介紹了如何通過對(duì)網(wǎng)絡(luò)行為數(shù)據(jù)的分析，對(duì)比正常數(shù)據(jù)和木馬數(shù)據(jù)的差異和特點(diǎn)，提出命令包的概念，提取出上傳下載比、命令包個(gè)數(shù)、小包占比、會(huì)話時(shí)長(zhǎng)和總包數(shù)等五個(gè)特征，采用決策樹算法來根據(jù)特征提取規(guī)則進(jìn)行數(shù)據(jù)篩選分類。通過HOOK技術(shù)掛鉤發(fā)包函數(shù)，審查其中的傳入?yún)?shù)，對(duì)發(fā)包函數(shù)進(jìn)行監(jiān)控，再通過?；厮菁夹g(shù)對(duì)調(diào)用的函數(shù)的調(diào)用棧進(jìn)行追蹤，最后根據(jù)其調(diào)用地址反查到木馬文件具體位置，以達(dá)到對(duì)木馬程序進(jìn)行定位的目的。最