30、恶意软件检测与攻击者追踪技术解析

恶意软件检测与攻击者追踪技术解析

1. 恶意软件检测方法

恶意软件检测是保障系统安全的重要环节，目前有多种检测方法。
- 基于抽象表示的检测 ：通过将程序表示为带注释的控制流图（CFG），将恶意代码表示为自动机。检测器检查可执行文件的抽象表示中是否出现恶意代码自动机，若出现则判定该程序为恶意。还有通过模板来建模恶意行为，若可疑程序包含恶意软件模板指定的行为，则判定为恶意。
- 结合CFG与指令类别的检测 ：对基于CFG的方法进行改进，将CFG与基本块的指令类别相结合。基本块的指令类别用位串形式的颜色表示，若从恶意软件实例和可疑可执行文件中提取的两个子图具有相同的CFG和对应基本块的相同颜色，则该可执行文件被判定为恶意。其中，采用机器指令操作语义表示的检测方法更准确，能将语法不同但语义相似的指令归为同一类。
- 结合归一化器的静态分析 ：在静态分析方面，将归一化器与恶意软件检测器相结合。例如，提出对不必要的无条件跳转、垃圾插入和打包混淆等三种混淆变换进行归一化的方法；使用编译器优化技术对目标可执行文件进行归一化；提出“标准指令集”的概念来归一化指令替换。
- 动态分析方法 ：在动态分析领域也有广泛研究。如对不可信源进行污点标记并跟踪污点数据，可检测覆盖攻击；监控Windows系统调用和安全相关的API函数，报告对Windows注册表和文件系统的修改；标记敏感信息流并跟踪其在Web浏览器或BHO中的处理过程，可检测敏感数据的泄露情况。

检测方法