48、网络安全技术：熵的应用、浏览器防护与恶意软件检测

网络安全技术：熵的应用、浏览器防护与恶意软件检测

在当今数字化时代，网络安全问题日益严峻，各种恶意攻击层出不穷。本文将深入探讨几种网络安全技术，包括熵在异常检测中的应用、基于浏览器的入侵预防系统、利用形式语法和遗传算子进化恶意软件以及检测未知恶意可执行文件的方法。

1. 熵在异常检测中的低效使用及改进

熵基度量在异常检测系统（ADSes）中被广泛用于量化行为模式，但目前其潜力尚未得到充分发挥。现有基于熵的ADSes存在三个重要缺点：
- 特征相关性保留不足 ：当前ADSes对特征的边缘分布进行熵分析，忽略了流量和/或主机特征之间的显著相关性。例如，在检测恶意网络会话时，分析按键和会话的联合熵可以更轻松地检测到异常活动，而单独分析边缘分布则效果不佳。
- 时空相关性未考虑 ：熵度量无法考虑良性模式的时空相关性，而这种相关性对于检测微妙异常很有用。如受感染PDF文件的块熵无法清晰显示感染块的扰动，而熵率能很好地反映时空相关性，可清晰显示感染块的扰动。
- 随机性量化不够 ：熵无法区分具有相同不确定性的不同分布，导致不扰动随机性的异常无法被检测到。例如，Blaster蠕虫在目的端口熵时间序列中无法被检测到，但通过计算相对熵（如K - L散度）可以检测到。

下面是相关示例图展示这些问题：
| 示例图 | 说明 |
| ---- | ---- |
| 图1(a) | 会话按键的直方图 |
| 图1(b) | 会话和按键的联合熵 |
| 图1(c) | 受感染文件的熵 |
| 图1(d) |