共查询到20条相似文献,搜索用时 140 毫秒
1.
基于行为特征库的木马检测模型设计 总被引:2,自引:0,他引:2
目前木马检测的主流技术主要是特征码检测技术,而该技术提取特征码滞后,无法检测未知新型木马.为了更好的检测新型木马,详细归纳总结木马的行为特征,同时在此基础上提取木马通适性行为特征,构建木马行为特征库,设计了基于行为特征库的木马检测模型,并应用模糊模式识别方法判断木马程序.通过实验证明此模型可以对可疑程序的行为特征进行分析判断,较准确地识别木马程序.该检测模型是对基于特征码检测技术的强有力补充,在新型木马不断涌现的今天,基于木马行为特征检测技术具有重要的应用意义. 相似文献
2.
基于行为检测的窃密型木马检测研究 总被引:1,自引:0,他引:1
马立军 《广西民族大学学报》2014,(2):70-74
针对窃密型木马伪装技术不断发展,窃密型木马检测难度越来越高的现状,提出基于行为检测的窃密型木马检测方案.通过对常见窃密型木马通信机制建模分析,构建窃密型木马的几种通信模式.为了提高窃密型木马检测精度,以窃密型木马通信行为特征,设计了基于完整会话的窃密型木马检测方案.通过对500组实验数据测试表明,笔者设计的窃密型木马检测方案漏检率为6.8%,误报率为2.7%,优于传统的木马检测方案. 相似文献
3.
基于行为监控的木马检测系统研究及实现 总被引:4,自引:0,他引:4
为了检测木马型病毒,分析了现有木马检测措施,设计并实现了一个基于行为监控的木马检测系统,介绍了该系统的软件结构和运行机制,描述了基于Winsock2 SPI和NDIS HOOK的网络通信检测技术、基于内核调度监控的进(线)程检测技术.测试表明,该系统能准确识别出被检测程序在安装阶段、启动阶段和网络通信阶段的行为. 相似文献
4.
具有高深隐藏技术的计算机木马在没有被捕获到特征码以前,基于特征码的杀毒软件没有办法进行常规检测,只能通过基于行为的方式进行检测;但是,对于不以大规模破坏计算机信息系统为主要目的而以特定信息窃取为目的的木马,在特定条件没有得到满足前,木马通常处于"休眠式"的潜伏状态,极少的行为往往能够躲避基于行为检测的检测方式。为此,本文将对计算机木马检测中的木马诱发条件进行研究,探索触发木马产生更多"工作行为",以提升木马检测成功率的模拟环境模型。 相似文献
5.
针对计算机木马判定困难的问题,提出了一种对行为序列进行多属性灰色模糊木马判定的方法.通过对计算机木马定性分析构建了木马攻击树,归纳了木马使用攻击树叶子节点方法实现不同功能的概率等级.使用基于木马行为的检测技术检测出主机包含网络通信、隐蔽运行、开机启动、自我防护四要素的所有行为序列,视这些行为序列为木马设计方案,使用模糊数量化定性指标,将灰色系统理论与模糊优选结合,计算各方案的木马灰色模糊的优属度,最后使用危险指数进行木马判定.应用示例表明该方法可以有效区分正常程序,检出木马程序. 相似文献
6.
高屹 《甘肃联合大学学报(自然科学版)》2014,28(3):49-53,73
僵尸网络已成为目前互联网安全所面临的严重威胁之一.经过10余年发展,僵尸网络已从使用传统的IRC协议向HTTP协议进行转变,给检测及防御等方面造成了诸多困难.通过分析基于HTTP协议僵尸网络所产生流量,在得出相关TCP协议统计信息、僵尸活动的间隔时间等特征的基础上,提出将快速学习神经网络模型(Extreme Learning Machine,ELM)用于识别和检测HTTP僵尸网络.实验表明,该方法能有效从网络流量中检测出BlackEnergry,Bobax等HTTP僵尸网络.与决策树C4.5、SVM算法及传统的BP算法相比较,该方法具有较高的识别率和较低的误报率. 相似文献
7.
为了能在攻击目标受损之前检测到攻击事件,提出了一种面向网络行为因果关联的攻击检测方法.基于SNMPMIB数据,根据攻击目标的异常行为,利用GCT从检测变量中挖掘出与异常变量存在整体行为关联的基本攻击变量,然后针对异常行为特征,再次利用GCT从基本攻击变量中挖掘出与异常变量存在局部行为关联的攻击变量,最后根据攻击变量和异常变量之间的因果关系,构建面向攻击方检测的攻击关联规则.在Trin00 UDP Flood检测实验中,所提方法在挖掘出攻击变量udp Out Datagrams上取得了满意的检测效果. 相似文献
8.
目前用Win32汇编生成的木马核心程序或木马服务端可以通过二进制资源的形式导入PE文件,针对该种特征木马,提出利用分析程序通信特征及资源特征相结合的方法,快速定位含有非标准资源的可疑程序,并对其进行检测,实现基于资源分析对该种特征木马的检测系统. 相似文献
9.
为了适应高速网络环境下的木马检测,通过分析传统的IDS,针对其在高速网络环境下对木马检测能力的不足,提出了单引擎大特征集的木马检测方法;通过分析木马的网络数据特征,对有限自动机转换过程进行优化,缩短了编译的时间,避免了重复匹配的问题,大幅度提高了基于正则表达式的木马检测方法的效率. 相似文献
10.
一种基于SVM的网络入侵检测模型 总被引:1,自引:0,他引:1
针对传统机器学习方法在检测网络入侵时存在的问题,给出一种基于支持向量机(SVM)的网络入侵检测模型.大量实验证明:提出的网络入侵检测模型具有较高的检测率,避免了基于传统机器学习检测方法的局限性.在训练数据的过程中,考虑不同的网络数据特征对入侵检测结果的影响程度,还提出一种新的特征加权分类方法,并通过实验数据说明该方法可使检测精度有所提高. 相似文献
11.
Aiming at the difficulty of unknown Trojan detection in the APT flooding situation, an improved detecting method has been proposed. The basic idea of this method originates from advanced persistent threat (APT) attack intents: besides dealing with damaging or destroying facilities, the more essential purpose of APT attacks is to gather confidential data from target hosts by planting Trojans. Inspired by this idea and some in-depth analyses on recently happened APT attacks, five typical communication characteristics are adopted to describe application’s network behavior, with which a fine-grained classifier based on Decision Tree and Na ve Bayes is modeled. Finally, with the training of supervised machine learning approaches, the classification detection method is implemented. Compared with general methods, this method is capable of enhancing the detection and awareness capability of unknown Trojans with less resource consumption. 相似文献
12.
《华中科技大学学报(自然科学版)》2019,(2):98-102
针对硬件木马旁路检测方法的噪声干扰问题,提出了基于自差分分析的硬件木马检测方法.基于旁路信号特征分析提出了两点假设:a.相同采样窗口内旁路信号的噪声变化小;b.不同激励下硬件木马的旁路特征存在差异.对同一采样窗口内不同激励的旁路信号进行自差分分析,将安全芯片与待测芯片的直接对比转变为自差分信号的相对差异分析,从而降低工艺噪声和环境噪声的干扰.提出了自差分分析的旁路信号模型以及相应检测流程.搭建了基于在线可编程门阵列芯片的验证平台,以8051微处理器内核为实验对象,采用马氏距离度量多点旁路信号差异,验证了假设的正确性,构建了待测芯片集合,成功检测出逻辑规模低至0.025%的硬件木马. 相似文献
13.
《华中科技大学学报(自然科学版)》2016,(2):51-55
针对目前硬件木马的侧信道检测普遍采用基于降维与主特征提取的分类方法,该方法在选取有用信息过程中可能会损失包含木马特征的关键信息这一问题,提出了一种基于自组织竞争神经网络的硬件木马检测方法.该方法在不损失有用信息的基础上,采用无监督学习的方式建立数学模型,对母本信息与待测信息进行分类判别.基于FPGA搭建了验证系统并对侧信道电流信息进行采集.数据处理结果表明:该方法可以有效检测出占母本电路面积0.16%的硬件木马. 相似文献
14.
针对侧信道硬件木马检测方法受到工艺偏差噪声和测试噪声影响的问题,提出了一种基于最大似然因子分析结合聚类判别的硬件木马检测方法.首先获取待测芯片的功耗信息,利用因子分析的方法提取公共因子,并利用最大似然方法计算因子载荷矩阵,最后使用分层聚类方法对因子载荷矩阵进行分类,区分出含有硬件木马的待测电路.利用现场可编程门阵列检测平台在考虑工艺偏差影响的情况下进行了实验验证,结果表明:在母本电路等效门数约为4 292个与非门的情况下,采用基于因子分析结合聚类分析的硬件木马检测方法可以在工艺偏差条件下有效检测出占母本电路面积比0.44%左右的硬件木马. 相似文献
15.
针对传统入侵检测系统的不足,研究了基于反向传播神经网络的程序异常检测方法,提出了一个改进的利用多层前馈网络的预测功能和异常区域判定方法检测系统异常的算法.详细讨论了算法的基本原理、数学基础、设计和实现方法.通过实验,分析算法的优缺点,验证了算法的可行性和有效性. 相似文献
16.
基于免疫的自适应性网络入侵检测模型设计 总被引:5,自引:0,他引:5
自然免疫系统与计算机安全问题有很多相似性,两者主要工作都是如何区分“自我”与“非我”。文章根据人工免疫的原理、体系结构,建立了一种基于免疫原理的自适应性网络入侵检测系统模型,以改进现有网络入侵检测系统的性能;详细给出了该模型在计算机中的数学描述、系统结构及具体实现;并在网络环境下完成了模拟攻击实验。 相似文献
17.
针对木马能以隐蔽的方式盗取用户敏感信息、文件资源或远程监控用户行为,对网络安全构成极大威胁,提出一种基于流量特征的木马检测方法,通过统计分析服务器端口有序性、服务器使用客户端端口号、客户端发包数、服务器端发包数等特征,使用支持向量机(support vector machine,SVM)算法进行分类训练并建立基于流量的木马监测模型;基于流量特征的普遍性和通用性,该方法对于未知木马也比较有效.仿真测试结果表明,所提出方法具备对常见木马或未知木马的良好检测能力,实验条件下盲检测准确率可达96.61%. 相似文献
18.
针对硬件木马的隐蔽性强和检测效率低等问题,提出一种基于电路活性测度的硬件木马检测方法.通过从恶意攻击者的角度分析电路,在电路的少态节点处植入木马激活模块(TAM),该方法可有效提升电路的整体活动性,进而提高硬件木马的激活度.以ISCAS'89基准电路S713为研究对象进行仿真验证,实验结果表明:TAM结构可将电路活动性提升1.7倍.在此基础上建立基于FPGA的测试平台开展侧信道分析实验,并采用主成分分析方法,实现低活性硬件木马的检测. 相似文献
19.
随着科技的进步,智能手机进入了一个高速发展的阶段,Android手机则是其中最主要的推动力.不过随着Android手机普及,由系统自身安全机制缺陷所带来的安全威胁也越来越大.所以针对Android恶意软件设计出高效率、高准确性的检测方案是非常有必要的.笔者设计了一种基于网络行为分析技术的Android恶意软件检测方案.该方案一方面通过对软件的网络行为进行分析,能够准确地判断出该软件是否被篡改为恶意软件;另一方面,借助于云安全技术,将主要的检测工作部署在云端服务器上,使检测工作能够更加高效. 相似文献
20.
在网络安全领域,恶意代码的威胁是一个不可回避的话题.如何快速检测出恶意代码、阻止和降低恶意代码产生的危害一直是亟需解决的问题.本文提出一种基于行为关系网络的恶意代码检测方法.首先,在沙箱中运行样本获得行为报告,再从报告中提取样本的API调用、注册表访问和文件读写操作三种行为记录来构建行为关系网络,所构建的行为关系网络包含“PE”、“API”、“Registry”和“File”4种类型的节点;然后,使用一种基于元图的方法来计算样本之间的相似度矩阵;最后,使用一种自定义核的支持向量机(Support Vector Machine, SVM)模型来进行训练和预测.实验结果表明,本文提出的方法可以达到95.5%的分类准确率,能够有效地对恶意代码进行检测. 相似文献