因果关联分析方法在恶意代码网络检测中的应用研究

论文摘要

随着信息技术的飞速发展和普及,计算机和网络技术在给人们带来方便和效率的同时,也带来了各种各样的安全方面的问题。恶意代码就是这些安全威胁中最常见的一种。由于其非常普遍,造成的危害也非常大,从影响计算机正常工作,到丢失数据,情况严重者,连计算机硬件也可能被破坏。因此深入地研究恶意代码,研究更好的检测它的方法,研究更强的防范和对抗恶意代码的技术有着重要的意义。本文讨论了恶意代码的定义和分类,对恶意代码的工作原理进行了研究,相应的提出了防范恶意代码的技术,对于特征代码、完整性、虚拟机等现在常用的基于主机的恶意代码检测技术进行了研究和总结,同时讨论了网络环境下恶意代码的检测方法,介绍了常在恶意代码网络检测中应用的入侵检测系统。在研究了恶意代码工作原理和现有的检测和防范技术的基础上,根据自己的工作经验,提出了把因果关联分析方法的理论应用到恶意代码网络检测中,该方法引入了超报警类的概念,用警报来表示恶意代码的攻击步骤,用谓词表示每条警报的前提和结果,用“资源树”来规范谓词说明。通过对不同警报的前提和结果进行匹配,得到警报之间的因果关系,并用超报警关联图的形式来形象地揭示这种关系。这种方法比较清晰地表现了不同恶意代码攻击网络的不同特征,在恶意代码的网络检测中具有一定的实用性。

论文目录

• 摘要
• ABSTRACT
• 1 绪论
• 1.1 计算机网络的安全现状
• 1.2 研究工作的目的和意义
• 1.3 本文要完成的工作
• 2 国内外研究进展
• 2.1 恶意代码技术发展现状
• 2.2 恶意代码的分析方法
• 2.3 恶意代码检测技术发展现状
• 2.3.1 基于主机的恶意代码检测
• 2.3.2 基于网络的恶意代码检测
• 2.4 小结
• 3 入侵检测技术简介
• 3.1 入侵检测的概念及其特点
• 3.2 误用检测和异常检测
• 3.3 入侵检测系统的标准化工作
• 3.4 入侵检测系统的CIDF 模型
• 3.4.1 CIDF 的体系结构
• 3.4.2 CIDF 的通信机制
• 3.4.3 CIDF 语言
• 3.4.4 CIDF 的API 接口
• 3.5 入侵检测的工作流程
• 3.6 入侵检测系统目前存在的问题
• 3.7 入侵检测技术发展趋势
• 3.8 小结
• 4 基于因果关系的恶意代码网络检测方法
• 4.1 问题分析
• 4.1.1 蠕虫的工作机制
• 4.2 脆弱路径
• 4.3 基于因果关系的关联公式
• 4.3.1 相关定义
• 4.3.2 超报警关联图
• 4.4 前提条件和结果的规范说明
• 4.4.1 利用“资源树”规范前提条件和结果说明
• 4.4.2 用“攻击图”来完善前提条件和结果
• 5 报警关联分析系统设计
• 5.1 报警关联分析系统结构
• 5.2 关联分析系统数据库的设计
• 5.2.1 知识库结构
• 5.2.2 警报预处理子系统用到的表结构
• 5.2.3 超报警生成器所用的表结构
• 5.2.4 超报警关联引擎所用的表结构
• 5.2.5 警报聚集/分解的表结构
• 5.3 各子系统介绍
• 5.3.1 警报预处理子系统
• 5.3.2 警报关联子系统
• 6 模拟实验
• 6.1 实验环境
• 6.1.1 实验数据源
• 6.1.2 实验网络拓扑结构
• 6.2 实验方案
• 6.2.1 实验目的
• 6.2.2 实验流程
• 6.3 实验结果
• 6.3.1 超报警关联图
• 6.3.2 蠕虫攻击场景识别
• 6.3.3 警报冗余信息减少
• 6.4 报警关联分析系统的优缺点
• 7 结论和展望
• 致谢
• 参考文献