12、用于检测恶意行为的分层架构

用于检测恶意行为的分层架构

1. 引言

在2007年上半年，赛门铁克观察到超过五百万台活跃且不同的被僵尸程序感染的计算机。僵尸网络被用于执行各种恶意任务，例如：键盘记录、间谍软件安装、拒绝服务（DoS）攻击、托管钓鱼网站或命令与控制服务器、垃圾邮件发送、点击欺诈以及许可证密钥盗窃等。恶意僵尸程序通常作为应用程序安装在受感染的（Windows）主机上，并且对受感染主机的控制范围与合法所有者大致相同。僵尸网络控制者可以实时灵活地利用这个平台，向其僵尸网络发出命令。

僵尸网络的一些典型特征增加了基于网络的可靠检测的难度。特别是，僵尸程序可能表现出高IP多样性、拥有高速且始终在线的连接，并通过加密通道进行通信。由于僵尸网络控制者同时控制着僵尸程序和命令与控制基础设施，这些可以被任意设计以逃避基于网络的检测措施。

众所周知，恶意软件防御者处于根本劣势：恶意软件生产者可以通过简单的措施（如打包转换，即加密和/或压缩）生成恶意软件变体，并可能通过系统手段逃避现有的反病毒签名。对于签名提供者来说，分析一个新的恶意软件实例并创建检测签名所需的努力远远大于逃避检测所需的努力。这种不对称的根源在于签名扫描器过于强调恶意软件无限可变的语法，而不是恶意软件所采取的行为。因此，即使是最有效的签名扫描器也无法检测到超过30%的野外恶意软件。所以，开发能够识别使恶意软件对其安装者有用的行为的有效方法至关重要。

1.1 我们的方法

我们提出、开发并评估了一种基于行为的方法，该方法针对那些促使恶意软件传播的高价值行为。对于僵尸程序，这些行为包括“代理”、“键盘记录”、“数据泄露”以及“下载并执行程序”。我们以分层的方式构建这些高级行为的表示，只关注每个行为的基本组成部分。