7、恶意软件检测与信息流动控制技术解析

恶意软件检测与信息流动控制技术解析

1. 恶意软件检测方法概述

随着恶意软件数量的不断增加，传统的签名检测方法已难以满足需求。目前，有多种方法被用于恶意软件检测：
- 基于n - gram字节序列分布和机器学习的方法 ：部分研究基于字节序列的n - gram分布和机器学习进行恶意软件检测。然而，这些方法用于训练分类器的大部分特征，可通过简单更改编译器轻易改变，因为它们主要关注字节分布。
- 控制流图分析方法 ：一些方法基于控制流图分析，如Christodescu和Jha提出了基于控制流分析的方法来处理恶意软件的混淆问题。后来，Christodescu等人改进了该方法，加入了恶意规范的语义模板。不过，这些方法消耗的时间资源较多，还未完全准备好被杀毒软件厂商采用，但控制流分析技术已证明能获取一些有价值的恶意行为信息。
- 动态分析方法 ：动态分析在一个封闭的环境中运行程序并收集相关信息。虽然它受限于单一执行流程，但能克服静态分析的主要问题，即确保正在分析的代码就是即将执行的代码。安全环境可以基于虚拟机或基于DLL注入和API挂钩来实现。

2. 基于操作码序列的恶意软件检测方法

为了更有效地检测恶意软件变体，提出了一种基于操作码序列的方法。该方法通过操作码序列构建可执行文件的向量表示，从而检测恶意软件变体的恶意行为。实验表明，该系统具有以下能力：
- 能够识别恶意软件变体。
- 能够区分良性可执行文件。

未来，该恶意软件检测系统的发展主要有三个方向：
- 使用混合动态 - 静态方法处理打包的