恶意代码动态分析技术的研究与实现

论文摘要

随着网络技术的高速发展和信息时代的到来,通过互联网传播和共享信息资源已经成为人们的首选,然而,网络的开放性和灵活性在给人们带来便利的同时也引入了各式各样的安全问题。据国家互联网应急中心CNCERT 2008上半年的调查报告显示,各种网络安全事件数量与2007年上半年同期相比有较为显著的增加。在诸多的网络威胁中,恶意代码所占的比例和危害程度最大,国内外针对恶意代码的研究和防治工作也从各方面展开。本文首先详细了解和总结恶意代码的实现机理和生存技能,在比较分析恶意代码现有分析技术和检测方法的基础上提出一种基于系统调用行为和参数分析的动态分析技术,然后深入调查恶意行为的共性特征并进行特征提取和规则建模,构建恶意行为规则库,最后具体实现恶意代码动态分析系统,并给出实验结果。本文的主要工作体现如下:(1)总结研究恶意代码的实现机理、攻击技术和生存技能;(2)分析现有恶意代码分析技术和检测方法,并比较它们的优缺点;(3)收集大量样本程序并加以训练,调查恶意代码行为共性,提取行为特征,构建恶意行为规则库。(4)提出一种基于系统调用行为和参数分析的动态分析技术,实现恶意代码动态分析原型系统。本文以正常程序、病毒、蠕虫、木马、间谍软件等作为样本对动态分析系统原型进行了功能和性能测试。实验结果表明,恶意代码动态分析系统能够成功识别出程序中的恶意行为,系统开销小,具有很高的检测效率;此外,分析系统还具备有通用调试器的反汇编和动态调试,能够动态追踪和调试具有反分析能力的恶意代码。最后,本文对全文进行了总结并客观评价了原型系统的优点和不足,指出未来的研究工作,以及对后续工作的展望。

论文目录

• 摘要
• ABSTRACT
• 第一章 绪论
• 1.1 研究背景
• 1.2 研究意义和目的
• 1.3 恶意代码分析技术的研究现状
• 1.4 研究内容及论文组织
• 1.4.1 研究内容
• 1.4.2 论文组织
• 第二章 恶意代码及其演变过程概述
• 2.1 恶意代码的定义
• 2.2 恶意代码的发展
• 2.3 恶意代码生存技术的演变
• 2.3.1 反跟踪技术
• 2.3.2 加密技术
• 2.3.3 加壳技术
• 2.3.4 模糊变换技术
• 2.3.5 自动生产技术
• 2.4 调查结果
• 第三章 恶意代码分析与检测技术研究
• 3.1 静态分析技术
• 3.2 启发式扫描技术
• 3.3 系统调用行为分析技术
• 3.4 沙箱技术
• 3.5 校验和检测技术
• 3.6 本章小结
• 第四章 恶意代码动态分析系统的概要设计
• 4.1 系统需求描述
• 4.2 系统方案提出
• 4.3 系统目标描述
• 4.4 运行环境介绍
• 4.5 系统总体设计
• 4.6 功能模块设计
• 4.7 本章小结
• 第五章 恶意代码行为分析与建模
• 5.1 恶意行为的调查
• 5.2 文件访问行为的恶意性分析
• 5.3 注册表访问行为的恶意性分析
• 5.4 网络活动行为的恶意性分析
• 5.5 进程活动行为的恶意性分析
• 5.6 服务活动行为的恶意性分析
• 5.7 Windows 挂钩行为的恶意性分析
• 5.8 本章小结
• 第六章 恶意代码动态分析系统的详细设计
• 6.1 恶意行为规则建模的详细设计
• 6.1.1 恶意行为规则的结构设计
• 6.1.2 恶意行为危险等级划分
• 6.2 恶意行为分析部件的详细设计
• 6.2.1 监视点设置模块
• 6.2.2 行为捕获模块
• 6.2.3 行为分析模块
• 6.2.4 行为记录模块
• 6.3 报表生成部件的详细设计
• 6.4 调试器功能部件的实现
• 6.5 本章小结
• 第七章 实验结果与分析
• 7.1 测试准备工作
• 7.2 系统功能测试结果
• 7.3 系统性能测试结果
• 7.4 小结
• 第八章 总结与展望
• 8.1 工作总结
• 8.2 前景展望
• 致谢
• 参考文献
• 附录
• 攻硕期间取得的研究成果