13、恶意软件检测技术：属性自动机与字符串签名生成

恶意软件检测技术：属性自动机与字符串签名生成

在当今数字化时代，恶意软件的威胁日益严重，如何高效准确地检测恶意软件成为了研究的热点。本文将介绍两种恶意软件检测方法：基于属性自动机的行为检测和自动生成字符串签名检测，探讨它们的原理、实验结果、局限性以及性能表现。

基于属性自动机的恶意软件行为检测

静态分析的优势与VBScript分析器

静态分析在恶意软件检测中具有独特的优势，它不仅能通过源代码的可见性进行检测，还具备一些集成的安全特性，如执行期间无直接代码重写和无任意控制流转移，使得路径探索成为可能。与用于进程跟踪的动态方法相比，静态方法在收集数据的覆盖范围上更具优势，能够监控不同执行路径对应的潜在操作，并提高对内部数据流的可见性。

VBScript分析器是一个使用静态分析进行路径探索的部分解释器，它主要分为三个部分：
1. 静态分析器 ：高度依赖VBScript语言的语法规范，先对脚本进行解析，定位主程序、本地函数和过程，并获取它们的签名。然后按块解析脚本结构，以恢复有关声明变量和实例化管理器（文件系统、外壳、网络、邮件）的信息。此外，还会进行代码规范化，以消除VBScript提供的语法捷径，更重要的是防止混淆。当前版本的规范化可以处理某些类型的混淆，如整数编码、字符串拆分或字符串加密。
2. 动态解释器 ：是一个部分解释器，用于探索不同的执行路径。它并不真正执行脚本代码，只是收集重要的操作和依赖关系。为了支持路径探索，分析器会处理条件和循环结构，以及对本地函数和过程的调用。在这些不同的块中，会处理每一行代码，以检索操作文件、注册表项、网络连接或邮件的受监控AP