恶意代码检测系统的研究与实现

论文摘要

随着计算机和互联网的高速发展,人们的工作和生活越来越依赖计算机,大量的网上游戏、网上购物、网上银行等服务涌现,网络安全问题随之而来。由于互联网的普及和各种攻击技术的发展,恶意代码编写不再是少许人才能掌握的技术,加上经济利益的驱使,如今的恶意代码已呈现数量大、传播快、变种多、隐蔽性强等特点。亟需一系列智能的、具有先验能力的恶意代码检测技术。本文的主要工作体现在以下几个方面:(1)提出了采用文件代码相似度的方式对恶意代码样本进行聚类分析。结合当今恶意代码的各种特点,本文采用通过反汇编引擎对逆向后的恶意代码的相关数据进行提取,再结合文件本身重要的静态信息建立起了一个恶意代码聚类系统,试验证明本文提出的聚类系统效果明显,尤其是对未加壳或者只加了普通壳的恶意代码具有很好的聚类效果。(2)提出将恶意代码先进行聚类分析,再选取聚类后的部分样本加入恶意代码训练集建立恶意代码检测模型的方法。提高恶意代码检测系统的针对性、准确性,同时也提高了检测效率。在恶意代码检测模型方面,采用文件PE结构和文件相关静态信息用机器学习的方法建立模型,在恶意代码非运行状态时就可实现检测,减小对恶意代码系统的影响。(3)本文设计并实现一种新型的智能恶意代码检测系统。通过对由正常文件和恶意代码文件构成的训练集提取相关重要文件静态信息,并结合机器学习的相关算法进行学习,建立起一套智能的、全自动化的、具有先验能力的未知恶意代码检测系统。最后,系统试验表明,采用本文提出的方法建立的恶意代码检测系统具有一定的未知恶意代码检测能力。本文详细阐述了一个完整智能恶意代码检测模型的设计、实现与测试。此模型可进一步的完善应用于实践,尤其是在对广泛传播的、家族式的新变种恶意代码具有很好的检测和适应能力。

论文目录

• 摘要
• ABSTRACT
• 第一章 绪论
• 1.1 恶意代码发展现状
• 1.2 课题研究的意义和目的
• 1.3 课题主要研究工作和组织结构
• 1.4 本章小结
• 第二章 恶意代码反检测技术及检测技术研究
• 2.1 恶意代码定义与分类
• 2.1.1 相关定义
• 2.1.2 恶意代码分类
• 2.2 恶意代码反检测技术
• 2.2.1 加壳技术
• 2.2.2 隐藏技术
• 2.2.3 多态变形技术
• 2.2.4 反调试和反虚拟机技术
• 2.3 恶意代码检测技术
• 2.3.1 特征码扫描技术
• 2.3.2 启发式扫描技术
• 2.3.3 行为分析技术
• 2.3.4 检测技术对比分析
• 2.4 本章小结
• 第三章 智能恶意代码检测系统体系结构
• 3.1 引言
• 3.2 系统总体结构
• 3.2.1 系统结构
• 3.2.2 系统结构优点
• 3.3 恶意代码聚类系统
• 3.4 恶意代码检测规则自学习系统
• 3.5 恶意代码检测判定系统
• 3.6 本章小结
• 第四章 恶意代码聚类系统
• 4.1 系统设计框架
• 4.2 系统工作流程
• 4.3 特征属性提取
• 4.3.1 PE 文件格式
• 4.3.2 PE 文件逆向
• 4.3.3 代码相似度的聚类方法
• 4.3.4 特征属性
• 4.4 相似度聚类相关算法
• 4.5 试验结果及分析
• 4.6 本章小结
• 第五章 恶意代码检测规则自学习系统
• 5.1 系统设计框架
• 5.2 系统建立流程
• 5.3 特征属性提取
• 5.3.1 特征属性列表
• 5.3.2 特征属性入库
• 5.4 恶意代码检测系统建立
• 5.4.1 系统评估算法
• 5.4.2 基于决策树分类算法的恶意代码检测模型
• 5.4.3 基于贝叶斯分类算法的恶意代码检测模型
• 5.5 试验结果比较分析
• 5.5.1 分类结果分析
• 5.5.2 算法对比分析
• 5.6 系统不足及改进
• 5.7 本章小结
• 第六章 总结与展望
• 6.1 工作总结
• 6.2 未来展望
• 致谢
• 参考文献
• 攻硕期间取得的研究成果