基于行为特征库的木马检测模型设计

目前木马检测的主流技术主要是特征码检测技术,而该技术提取特征码滞后,无法检测未知新型木马.为了更好的检测新型木马,详细归纳总结木马的行为特征,同时在此基础上提取木马通适性行为特征,构建木马行为特征库,设计了基于行为特征库的木马检测模型,并应用模糊模式识别方法判断木马程序.通过实验证明此模型可以对可疑程序的行为特征进行分析判断,较准确地识别木马程序.该检测模型是对基于特征码检测技术的强有力补充,在新型木马不断涌现的今天,基于木马行为特征检测技术具有重要的应用意义.     

基于行为检测的窃密型木马检测研究

针对窃密型木马伪装技术不断发展,窃密型木马检测难度越来越高的现状,提出基于行为检测的窃密型木马检测方案.通过对常见窃密型木马通信机制建模分析,构建窃密型木马的几种通信模式.为了提高窃密型木马检测精度,以窃密型木马通信行为特征,设计了基于完整会话的窃密型木马检测方案.通过对500组实验数据测试表明,笔者设计的窃密型木马检测方案漏检率为6.8％,误报率为2.7％,优于传统的木马检测方案.     

基于SPI技术漏洞的新型木马的防范方法

目的防范基于SPI技术漏洞的新型木马。方法从SPI技术原理出发分析新型木马利用SPI技术实现隐藏的机制,找出一种新型木马的检测和清除方法。结果提出了一套完整的针对基于SPI技术的新型木马的防御方案,并详细描述了其实现。结论这种确实可行的周期比较法,可以对新型木马实施半自动清除。     

通过特洛伊木马认识木马

特洛伊木马(简称木马)危害性大、隐蔽性强,是目前攻击计算机信息系统的主要手段之一,由木马所造成的信息系统破坏和损失的情况越来越多,对计算机信息系统的安全保密构成了极大的威胁,因此对计算机木马技术的研究已成为计算机信息安全领域的一个重点和热点。     

基于频繁子树挖掘算法的网页木马检测技术

针对目前互联网安全的主要威胁之一网页木马,基于网页木马的树状链接结构特征,引入频繁子树挖掘算法,对前期积累的4万多个恶意网页木马场景进行子树模式挖掘,提取了35个网页木马场景共同子树结构特征,利用这些特征在网页木马动态分析过程中辅助检测。实验表明:在加入基于子树特征的检测方法判定的网页木马中,动态检测方法有近20%的漏报。因此,基于子树特征的检测方法有效地提高了动态检测的检测能力和效率,同时挖掘出的典型子树模式提供了网页木马分类和溯源的依据。     

基于SVM的木马流量特征检测方法

针对木马能以隐蔽的方式盗取用户敏感信息、文件资源或远程监控用户行为,对网络安全构成极大威胁,提出一种基于流量特征的木马检测方法,通过统计分析服务器端口有序性、服务器使用客户端端口号、客户端发包数、服务器端发包数等特征,使用支持向量机(support vector machine,SVM)算法进行分类训练并建立基于流量的木马监测模型;基于流量特征的普遍性和通用性,该方法对于未知木马也比较有效.仿真测试结果表明,所提出方法具备对常见木马或未知木马的良好检测能力,实验条件下盲检测准确率可达96.61%.     

基于行为监控的木马检测系统研究及实现

为了检测木马型病毒,分析了现有木马检测措施,设计并实现了一个基于行为监控的木马检测系统,介绍了该系统的软件结构和运行机制,描述了基于Winsock2 SPI和NDIS HOOK的网络通信检测技术、基于内核调度监控的进(线)程检测技术.测试表明,该系统能准确识别出被检测程序在安装阶段、启动阶段和网络通信阶段的行为.     

一种基于网络行为分析的HTTP木马检测模型

基于HTTP协议进行网络通信的木马能够躲避部分网络安全监控系统的检测,是互联网安全的一个重大威胁。通过对该类木马样本和普通程序样本网络行为的对比分析,得到该类木马的6个网络行为特征,综合利用层级聚类、Davies-Bouldin指数和k-means聚类方法提出了一种木马检测模型,实现了HTTP木马检测。结果表明,该HTTP木马检测模型准确率较高,误报率较低。     

基于线程管理-端口截听的木马检测系统的设计

随着互联网越来越生活化,层出不穷的木马已是网络安全的主要威胁,其隐蔽性很强,使一般检测工具难以检测.本系统通过直接扫描系统内核中的活动线程以及截拦活动线程的网络数据流量来进行木马的检测.可以检测出当前所有类型的进程隐藏木马.     

计算机木马检测中木马行为诱发研究

具有高深隐藏技术的计算机木马在没有被捕获到特征码以前,基于特征码的杀毒软件没有办法进行常规检测,只能通过基于行为的方式进行检测;但是,对于不以大规模破坏计算机信息系统为主要目的而以特定信息窃取为目的的木马,在特定条件没有得到满足前,木马通常处于"休眠式"的潜伏状态,极少的行为往往能够躲避基于行为检测的检测方式。为此,本文将对计算机木马检测中的木马诱发条件进行研究,探索触发木马产生更多"工作行为",以提升木马检测成功率的模拟环境模型。     

基于有限状态机的硬件木马设计和插入

针对集成电路设计和制造中存在的硬件木马问题, 提出一种新的模型来提高木马检测能力。该模型基于有限状态机, 比组合电路型木马难于触发和检测。同时, 木马电路插入位置的选择也可以有效规避路径延时检测方法。实验选择ISCAS’89基准电路中的S349作为目标电路, 对功能和延时信息进行仿真。实验结果表明, 这种类型的木马难于激活, 并且选择合适的插入位置可以有效隐藏延时信息。     

木马的攻击和防范研究

在网络信息系统中,木马技术由于其隐蔽性、远程可植入性和可控制性等特点,已成为黑客攻击或不法分子入侵或控制他人网络或计算机系统的重要工具。为了从源头上了解和认识木马,以便减少被木马攻击带来的危害,本文系统地研究和分析了各种木马的工作原理和功能并针对一些典型的木马攻击提出了相应的木马防范方法,可为从事网络管理活动的机构和个人借鉴与参考,推动我国网络信息化的健康发展。     

现代计算机木马的攻击与防御

本文阐述了木马的起源及其破坏性，主要研究了木马的攻击原理。主要包括入侵的步骤：配置木马；传播木马；运行木马；建立连接；远程控制。经过分析可以有针对性的对木马进行有效的防御。有效的防御方法可以减少木马对用户的破坏。     

基于行为序列灰色模糊判定的计算机木马检测方法

针对计算机木马判定困难的问题,提出了一种对行为序列进行多属性灰色模糊木马判定的方法.通过对计算机木马定性分析构建了木马攻击树,归纳了木马使用攻击树叶子节点方法实现不同功能的概率等级.使用基于木马行为的检测技术检测出主机包含网络通信、隐蔽运行、开机启动、自我防护四要素的所有行为序列,视这些行为序列为木马设计方案,使用模糊数量化定性指标,将灰色系统理论与模糊优选结合,计算各方案的木马灰色模糊的优属度,最后使用危险指数进行木马判定.应用示例表明该方法可以有效区分正常程序,检出木马程序.     

电路分区自比较的硬件木马检测方法

硬件木马(hardware Trojan, HT)已成为集成电路安全的主要威胁之一,HT检测是电路安全性设计的基础,传统基于门级特性描述的HT检测方法所得到的参数需要引入黄金模型进行比较,导致检测难度大和成本高。文章提出一种基于电路分区自比较的HT检测方法。首先在门级网表层将电路划分为多个区域,提取各区域电路的泄漏功耗参数;然后通过线性回归算法计算得到各区域电路的HT比例因子;最后采用自比较策略,利用所获得的木马比例因子直接实现HT检测。通过实验将该检测方法应用于ISCAS-85基准电路的HT检测,结果表明,当木马电路占基准电路的门数比例大于0.04%时,可以实现电路HT的准确检测。     

Asp木马漏洞安全防范策略

利用Asp木马漏洞技术是目前入侵网站的主流技术之一,该技术主要利用Asp脚本来执行cmd.exe命令,从而达到控制操作系统的目的.一旦入侵者在所攻克的网站中植入了Asp木马后,则可以使用常用的DOS命令来对系统文件进行删除、复制等操作,给该系统带来巨大的安全隐患.通过对目前主流的Asp木马核心技术的分析,然后给出了Asp木马漏洞安全防范的一般性策略.     

基于电路活性测度的硬件木马检测方法

针对硬件木马的隐蔽性强和检测效率低等问题,提出一种基于电路活性测度的硬件木马检测方法.通过从恶意攻击者的角度分析电路,在电路的少态节点处植入木马激活模块(TAM),该方法可有效提升电路的整体活动性,进而提高硬件木马的激活度.以ISCAS'89基准电路S713为研究对象进行仿真验证,实验结果表明:TAM结构可将电路活动性提升1.7倍.在此基础上建立基于FPGA的测试平台开展侧信道分析实验,并采用主成分分析方法,实现低活性硬件木马的检测.     

Asp木马漏洞安全防范策略

利用Asp木马漏洞技术是目前入侵网站的主流技术之一,该技术主要利用Asp脚本来执行cmd.exe命令,从而达到控制操作系统的目的。一旦入侵者在所攻克的网站中植入了Asp木马后,则可以使用常用的DOS命令来对系统文件进行删除、复制等操作,给该系统带来巨大的安全隐患。通过对目前主流的Asp木马核心技术的分析,然后给出了Asp木马漏洞安全防范的一般性策略。     

基于子空间域特征提取的硬件木马检测方法

为了解决制造变异和噪声对已有硬件木马检测方法的挑战和干扰,提出了一种新的微弱木马信号检测技术,能够在较大的制造变异和噪声的背景下提取出木马特征信号.首先,将木马检测问题建模为特征提取模型,然后提出了一个基于时域约束估计器和主成分投影的统一子空间木马检测方法.并通过特定的子空间投影或重构信号分析,证实弱小的木马信号可以与各种噪声和干扰区分开来.该方法为已有的硬件木马检测方法提供了一种通用的消除制造变异和噪声影响的方法.设计实现了2个时序硬件木马,在ISCAS89基准电路上进行了仿真实验验证,并在FPGA上进行了硬件实物验证,实验结果均表明了所提方法的有效性和高检测精度.     

基于高斯滤波和K最邻近算法融合的硬件木马电磁信息检测技术研究

电磁侧信道信息具有非接触、三维矢量、空间及频谱信息丰富等优点,可以进一步提高硬件木马的检测效率,基于电磁侧信道分析的硬件木马检测技术逐渐成为主流方法 .因此,以电磁侧信道信息为研究对象,融合高斯滤波算法和K最邻近算法提取并识别出硬件木马的微小特征,建立高精度微米级集成电路电磁侧信道采集平台,并采集敏感区域的电磁侧信道信息.利用高斯算法自适应地滤除测试中的高斯噪声影响,借助K最邻近算法的相似度测度来提取硬件木马的特征.实验结果表明,提出的检测方法可以有效地检测出面积占比为0. 76%的硬件木马.