26、使用行为建模和定制常态配置文件防范定向网络攻击

使用行为建模和定制常态配置文件防范定向网络攻击

1. 引言

现代恶意软件如同高精度武器，信息攻击可用于间谍活动甚至工业破坏。目前流行的基于二进制签名的恶意软件检测技术存在诸多不足，如易被规避、数据库膨胀，且无法应对零日攻击。

行为分析为恶意软件检测提供了更有前景的方法。行为签名比二进制签名更具抗混淆能力，因为改变程序行为同时保留恶意功能比仅改变二进制结构更难。而且，恶意软件为达成目标通常需执行系统操作，这些操作易被观察且难以隐藏，所以更易被行为检测发现。

行为检测机制主要分为误用检测和异常检测：
- 误用检测 ：查找已知的恶意行为模式，检测性能较可靠，但定义恶意模式耗时且易出错，需定期更新，也无法检测未暴露已知恶意模式的代码。
- 异常检测 ：响应异常行为，能防范未知威胁，但误报率高。

因此，结合两种检测机制可形成可靠的入侵检测系统（IDS）技术。本文将介绍一种能自动发现计算机程序行为配置文件的机制。

2. 方法

检测未知行为的问题可分为两个阶段：
- 离线阶段 ：观察系统级事件流足够长时间，以覆盖大多数应用场景，利用积累的数据构建系统已知行为的行为模型，此过程可离线进行，充分利用计算资源。
- 在线阶段 ：将观察到的事件流与已知行为模型进行匹配，若偏离模型预测的行为则判定为异常，此步骤需低开销。

本文重点关注从连续的系统调用流中组装行为模型的过程。以往创建正常和恶意行为模型的尝试大多不太成功，因为这些模型往