搜索

[21581] 2021-01-08_物联网安全：入侵检测

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2021-01-08_物联网安全：入侵检测 物 联 网 安 全 ： 入 侵 检 测 计 算 机 与 网 络 安 全   L e m o n S e c   2 0 2 1 - 0 1 - 0 8 微 信 公 众 号 ： 计 算 机 与 网 络 安 全 I D ： C o m p u t e r - n e t w o r k 入 侵 检 测 是 网 络 安 全 的 重 要 组 成 部 分 。 根 据 信 息 的 来 源 可 将 入 侵 检 测 系 统 分 为 基 于 网 络 的 入 侵 检 测 系 统 和 基 于 主 机 的 入 侵 检 测 系 统 。 目 前 采 用 的 入 侵 检 测 技 术 主 要 有 异 常 检 测 和 误 用 检 测 两 种 ， 同 时 科 技 人 员 正 在 研 究 一 些 新 的 入 侵 检 测 技 术 ， 例 如 ， 基 于 免 疫 系 统 的 检 测 方 法 、 遗 传 算 法 和 基 于 内 核 系 统 的 检 测 方 法 等 。 1 、 入 侵 检 测 的 概 念 、 入 侵 检 测 的 概 念 入 侵 检 测 （ I n t r u s i o n   D e t e c t i o n ） 的 概 念 首 先 是 由 詹 姆 斯 · 安 德 森 （ J a m e s   A n d e r s o n ） 于 1 9 8 0 年 提 出 来 的 。 入 侵 是 指 在 信 息 系 统 中 进 行 非 授 权 的 访 问 或 活 动 ， 不 仅 指 非 系 统 用 户 非 授 权 登 录 系 统 和 使 用 系 统 资 源 ， 还 包 括 系 统 内 的 用 户 滥 用 权 利 对 系 统 造 成 的 破 坏 ， 如 非 法 盗 用 他 人 的 账 户 、 非 法 获 得 系 统 管 理 员 权 限 、 修 改 或 删 除 系 统 文 件 等 。 入 侵 检 测 可 以 被 定 义 为 识 别 出 正 在 发 生 的 入 侵 企 图 或 已 经 发 生 的 入 侵 活 动 的 过 程 。 入 侵 检 测 包 含 两 层 意 思 ： 一 是 对 外 部 入 侵 （ 非 授 权 使 用 ） 行 为 的 检 测 ； 二 是 对 内 部 用 户 （ 合 法 用 户 ） 滥 用 自 身 权 利 的 检 测 。 入 侵 检 测 的 内 容 包 括 ： 试 图 闯 入 、 成 功 闯 入 、 冒 充 其 他 用 户 、 违 反 安 全 策 略 、 合 法 用 户 账 户 信 息 的 泄 露 、 独 占 资 源 以 及 恶 意 使 用 。 进 行 入 侵 检 测 的 软 件 与 硬 件 的 组 合 便 是 入 侵 检 测 系 统 （ I n t r u s i o n   D e t e c t i o n   S y s t e m ， I D S ） 。 它 通 过 从 计 算 机 网 络 或 计 算 机 系 统 的 关 键 点 收 集 信 息 并 进 行 分 析 ， 从 中 发 现 网 络 或 系 统 中 是 否 有 违 反 安 全 策 略 的 行 为 和 被 攻 击 的 迹 象 并 且 对 其 做 出 反 应 。 入 侵 检 测 系 统 的 有 些 反 应 是 自 动 的 ， 如 （ 通 过 控 制 台 或 电 子 邮 件 ） 通 知 网 络 安 全 管 理 员 ， 中 止 入 侵 进 程 ， 关 闭 系 统 ， 断 开 与 互 联 网 的 连 接 ， 使 该 用 户 无 效 ， 执 行 一 个 准 备 好 的 命 令 等 。 入 侵 检 测 被 认 为 是 防 火 墙 之 后 的 第 二 道 安 全 闸 门 ， 提 供 对 内 部 攻 击 、 外 部 攻 击 和 误 操 作 的 实 时 防 护 。 这 些 防 护 都 通 过 它 执 行 以 下 任 务 来 实 现 ： ①   监 视 、 分 析 用 户 及 系 统 活 动 ， 查 找 非 法 用 户 和 合 法 用 户 的 越 权 操 作 ； ②   审 计 系 统 构 造 和 弱 点 ， 并 提 示 管 理 员 修 补 漏 洞 ； ③   识 别 反 映 已 知 进 攻 的 活 动 模 式 并 向 相 关 人 士 报 警 ， 实 时 对 检 测 到 的 入 侵 行 为 进 行 反 应 ； ④   统 计 分 析 异 常 行 为 模 式 ， 发 现 入 侵 行 为 的 规 律 ； ⑤   评 估 重 要 系 统 和 数 据 文 件 的 完 整 性 ， 如 计 算 和 比 较 文 件 系 统 的 校 验 和 ；
⑥   审 计 跟 踪 管 理 操 作 系 统 ， 并 识 别 用 户 违 反 安 全 策 略 的 行 为 。 2 、 入 侵 检 测 系 统 、 入 侵 检 测 系 统 图 1 描 述 了 一 个 入 侵 检 测 系 统 中 的 各 部 分 之 间 的 关 系 。 图 1     入 侵 检 测 系 统 数 据 源 为 入 侵 检 测 系 统 提 供 最 初 的 数 据 来 源 ， 入 侵 检 测 系 统 利 用 这 些 数 据 来 检 测 入 侵 。 数 据 源 包 括 网 络 包 、 审 计 日 志 、 系 统 日 志 和 应 用 程 序 日 志 等 。 探 测 器 从 数 据 源 中 提 取 出 与 安 全 相 关 的 数 据 和 活 动 ， 如 不 希 望 的 网 络 连 接 （ T e l n e t ） 或 系 统 日 志 中 用 户 的 越 权 访 问 等 ， 并 将 这 些 数 据 传 送 给 分 析 器 做 进 一 步 分 析 。 分 析 器 的 职 责 是 对 探 测 器 传 来 的 数 据 进 行 分 析 ， 如 果 发 现 未 授 权 或 不 期 望 的 活 动 ， 就 产 生 警 报 并 将 其 报 告 给 管 理 器 。 管 理 器 是 入 侵 检 测 系 统 的 管 理 部 件 ， 其 主 要 功 能 有 配 置 探 测 器 、 分 析 器 ， 通 知 操 作 员 发 生 了 入 侵 ， 采 取 应 对 措 施 等 。 管 理 器 接 收 到 分 析 器 的 警 报 后 ， 便 通 知 操 作 员 并 向 其 报 告 情 况 ， 通 知 的 方 式 有 声 音 、 E - m a i l 、 S N M P   T r a p 等 。 同 时 管 理 器 还 可 以 主 动 采 取 应 对 措 施 ， 如 结 束 进 程 、 切 断 连 接 、 改 变 文 件 和 网 络 的 访 问 权 等 。 操 作 员 利 用 管 理 器 来 管 理 入 侵 检 测 系 统 ， 并 根 据 管 理 器 的 报 告 采 取 进 一 步 的 措 施 。 管 理 员 是 网 络 和 信 息 系 统 的 管 理 者 ， 负 责 制 定 安 全 策 略 和 部 署 入 侵 检 测 系 统 。 安 全 策 略 是 预 先 定 义 的 一 些 规 则 ， 这 些 规 则 规 定 了 网 络 中 哪 些 活 动 可 以 允 许 发 生 或 者 外 部 的 哪 些 主 机 可 以 访 问 内 部 的 网 络 等 。 安 全 策 略 通 过 被 应 用 到 探 测 器 、 分 析 器 和 管 理 器 上 来 发 挥 作 用 。 依 据 不 同 的 标 准 ， 可 以 将 入 侵 检 测 系 统 划 分 成 不 同 的 类 别 。 可 以 依 照 检 测 方 法 、 对 入 侵 的 响 应 方 式 和 信 息 的 来 源 等 不 同 的 标 准 来 划 分 入 侵 检
测 系 统 。 但 传 统 的 划 分 方 法 根 据 信 息 的 来 源 将 入 侵 检 测 系 统 分 为 基 于 网 络 的 入 侵 检 测 系 统 和 基 于 主 机 的 入 侵 检 测 系 统 两 大 类 。 （ （ 1 ） 基 于 网 络 的 入 侵 检 测 系 统 ） 基 于 网 络 的 入 侵 检 测 系 统 基 于 网 络 的 入 侵 检 测 系 统 的 信 息 来 源 为 网 络 中 的 数 据 包 。 基 于 网 络 的 入 侵 检 测 系 统 通 常 通 过 在 网 络 层 监 听 并 分 析 网 络 包 来 检 测 入 侵 ， 其 可 以 检 测 到 非 授 权 访 问 、 盗 用 数 据 资 源 、 盗 取 口 令 文 件 等 入 侵 行 为 。 基 于 网 络 的 入 侵 检 测 系 统 不 需 要 改 变 服 务 器 等 主 机 的 配 置 ， 不 会 在 业 务 系 统 的 主 机 中 安 装 额 外 的 软 件 ， 从 而 不 会 影 响 这 些 机 器 的 C P U 、 I / O 接 口 与 磁 盘 等 资 源 的 使 用 。 基 于 网 络 的 入 侵 检 测 系 统 不 像 路 由 器 、 防 火 墙 等 关 键 设 备 ， 其 不 会 成 为 系 统 中 的 关 键 路 径 。 基 于 网 络 的 入 侵 检 测 系 统 发 生 故 障 不 会 影 响 到 正 常 的 业 务 运 行 ， 而 且 部 署 一 个 基 于 网 络 的 入 侵 检 测 系 统 的 风 险 比 基 于 主 机 的 入 侵 检 测 系 统 的 风 险 小 得 多 。 基 于 网 络 的 入 侵 检 测 系 统 的 优 势 在 于 它 的 实 时 性 ， 当 检 测 到 攻 击 时 ， 其 能 很 快 做 出 反 应 。 另 外 ， 基 于 网 络 的 入 侵 检 测 系 统 可 以 在 一 个 点 上 监 测 整 个 网 络 中 的 数 据 包 ， 不 必 像 基 于 主 机 的 入 侵 检 测 系 统 那 样 ， 需 要 在 每 一 台 主 机 上 都 安 装 检 测 系 统 ， 因 此 ， 基 于 网 络 的 入 侵 检 测 系 统 是 一 种 经 济 的 解 决 方 案 。 并 且 ， 基 于 网 络 的 入 侵 检 测 系 统 检 测 网 络 包 时 并 不 依 靠 操 作 系 统 来 提 供 数 据 ， 因 此 它 有 着 对 操 作 系 统 的 独 立 性 。 但 基 于 网 络 的 入 侵 检 测 系 统 也 有 一 些 缺 陷 ， 因 此 也 面 临 着 以 下 挑 战 。 ①   网 络 入 侵 检 测 系 统 可 能 会 将 大 量 的 数 据 传 回 分 析 系 统 。 ②   不 同 网 络 的 最 大 传 输 单 元 （ M a x i m u m   T r a n s m i s s i o n   U n i t ， M T U ） 不 同 ， 一 些 大 的 网 络 包 常 常 被 分 成 小 的 网 络 包 来 传 递 。 当 大 的 网 络 包 被 拆 分 时 ， 其 中 的 攻 击 特 征 有 可 能 被 分 拆 。 基 于 网 络 的 入 侵 检 测 系 统 在 网 络 层 无 法 检 测 到 这 些 特 征 ， 而 在 上 层 这 些 被 拆 分 的 包 又 会 重 新 装 配 起 来 ， 引 发 攻 击 与 破 坏 。 ③   随 着 V P N 、 S S H 和 S S L 的 应 用 ， 数 据 加 密 越 来 越 普 遍 ， 传 统 的 基 于 网 络 的 入 侵 检 测 系 统 工 作 在 网 络 层 ， 无 法 分 析 上 层 的 加 密 数 据 ， 从 而 也 无 法 检 测 到 加 密 后 的 入 侵 网 络 包 。 ④   在 百 兆 甚 至 是 千 兆 网 上 ， 仅 仅 通 过 在 一 个 点 上 分 析 整 个 网 络 上 的 数 据 包 是 不 可 行 的 ， 那 样 必 然 会 引 发 丢 包 问 题 ， 从 而 造 成 漏 报 或 误 报 。 ⑤   异 步 传 输 模 式 （ A T M ） 网 络 以 小 的 、 固 定 长 度 的 包 （ 信 元 ） 传 送 信 息 。 5 3 字 节 定 长 的 信 元 与 以 往 的 包 技 术 相 比 具 有 一 些 优 点 ： 短 的 信 元 可 以 快 速 交 换 ， 硬 件 实 现 容 易 。 但 是 ， 交 换 网 络 不 能 被 传 统 网 络 侦 听 器 监 视 ， 从 而 无 法 对 数 据 包 进 行 分 析 。 （ （ 2 ） 基 于 主 机 的 入 侵 检 测 系 统 ） 基 于 主 机 的 入 侵 检 测 系 统 基 于 主 机 的 入 侵 检 测 系 统 的 信 息 来 源 为 操 作 系 统 事 件 日 志 、 管 理 工 具 审 计 记 录 和 应 用 程 序 审 计 记 录 。 它 通 过 监 视 系 统 运 行 情 况 （ 文 件 的 打 开 和 访 问 、 文 件 权 限 的 改 变 、 用 户 的 登 录 和 特 权 服 务 的 访 问 等 ） 、 审 计 系 统 日 志 文 件 （ S y s l o g ） 以 及 应 用 程 序 （ 关 系 数 据 库 、 W e b 服 务 器 ） 日 志 文 件 来 检 测 入 侵 。 基 于 主 机 的 入 侵 检 测 系 统 可 以 检 测 到 用 户 滥 用 权 限 、 创 建 后 门 账 户 、 修 改 重 要 数 据 和 改 变 安 全 配 置 等 入 侵 行 为 ， 同 时 还 可 以 定 期 对 系 统 关 键 文 件 进 行 检 查 ， 计 算 其 校 验 值 以 确 信 其 完 整 性 。
基 于 主 机 的 入 侵 检 测 系 统 检 测 发 生 在 主 机 上 的 活 动 ， 处 理 的 都 是 操 作 系 统 事 件 或 应 用 程 序 事 件 而 不 是 网 络 包 ， 所 以 高 速 网 络 对 它 没 有 影 响 。 同 时 它 使 用 的 是 操 作 系 统 提 供 的 信 息 ， 经 过 加 密 的 数 据 包 在 到 达 操 作 系 统 后 ， 都 已 经 被 解 密 ， 所 以 基 于 主 机 的 入 侵 检 测 系 统 能 很 好 地 处 理 包 加 密 的 问 题 。 并 且 ， 基 于 主 机 的 入 侵 检 测 系 统 还 可 以 综 合 多 个 数 据 源 进 行 进 一 步 的 分 析 ， 利 用 数 据 挖 掘 技 术 来 发 现 入 侵 。 但 是 ， 基 于 主 机 的 入 侵 检 测 系 统 也 有 自 身 的 缺 陷 ， 主 要 有 以 下 5 点 。 ①   降 低 系 统 性 能 ： 原 始 数 据 要 经 过 集 中 、 分 析 和 归 档 处 理 ， 这 些 都 需 要 占 用 系 统 资 源 ， 因 此 ， 基 于 主 机 的 入 侵 检 测 系 统 会 在 一 定 程 度 上 降 低 系 统 性 能 。 ②   配 置 和 维 护 困 难 ： 每 台 被 检 测 的 主 机 上 都 需 要 安 装 检 测 系 统 ， 每 个 系 统 都 有 维 护 和 升 级 的 任 务 ， 安 装 和 维 护 需 要 一 笔 不 小 的 费 用 。 ③   存 在 被 关 闭 的 可 能 ： 由 于 基 于 主 机 的 入 侵 检 测 系 统 安 装 在 被 检 测 的 主 机 上 ， 因 此 有 权 限 的 用 户 或 攻 击 者 可 以 关 闭 检 测 程 序 以 使 自 己 的 行 为 在 系 统 中 没 有 记 录 ， 进 而 来 逃 避 检 测 。 ④   存 在 数 据 欺 骗 问 题 ： 攻 击 者 或 有 权 限 的 用 户 可 以 插 入 、 修 改 或 删 除 审 计 记 录 ， 逃 避 基 于 主 机 的 入 侵 检 测 系 统 的 检 测 。 ⑤   实 时 性 较 差 ： 基 于 主 机 的 入 侵 检 测 系 统 进 行 的 多 是 事 后 检 测 ， 因 此 ， 当 发 现 入 侵 时 ， 系 统 多 数 已 经 遭 到 了 破 坏 。 （ （ 3 ） 分 布 式 入 侵 检 测 系 统 ） 分 布 式 入 侵 检 测 系 统 目 前 这 种 技 术 在 I S S 的 R e a l S e c u r e 等 产 品 中 已 经 有 所 应 用 。 分 布 式 入 侵 检 测 系 统 检 测 的 数 据 也 是 来 源 于 网 络 中 的 数 据 包 ， 不 同 的 是 ， 它 采 用 分 布 式 检 测 、 集 中 管 理 的 方 法 ， 即 在 每 个 网 段 安 装 一 个 黑 匣 子 。 该 黑 匣 子 相 当 于 基 于 网 络 的 入 侵 检 测 系 统 ， 只 是 没 有 用 户 操 作 界 面 ； 黑 匣 子 用 来 检 测 其 所 在 网 段 上 的 数 据 流 ， 并 根 据 集 中 安 全 管 理 中 心 制 定 的 安 全 策 略 、 响 应 规 则 等 来 分 析 检 测 到 的 网 络 数 据 ， 同 时 向 集 中 安 全 管 理 中 心 发 回 安 全 事 件 信 息 。 集 中 安 全 管 理 中 心 是 整 个 分 布 式 入 侵 检 测 系 统 面 向 用 户 的 界 面 ， 它 的 特 点 是 对 数 据 保 护 的 范 围 比 较 大 ， 但 对 网 络 流 量 有 一 定 的 影 响 。 此 外 ， 根 据 工 作 方 式 可 将 入 侵 检 测 系 统 分 为 离 线 检 测 系 统 与 在 线 检 测 系 统 。 离 线 检 测 系 统 是 非 实 时 工 作 的 系 统 ， 离 线 检 测 系 统 在 事 后 分 析 审 计 事 件 ， 从 中 检 查 入 侵 活 动 。 在 线 检 测 系 统 是 实 时 联 机 的 检 测 系 统 。 在 线 检 测 系 统 的 工 作 包 含 对 实 时 网 络 数 据 包 进 行 分 析 ， 对 实 时 主 机 审 计 进 行 分 析 。 其 工 作 过 程 是 在 网 络 连 接 过 程 中 实 时 检 测 入 侵 ， 一 旦 发 现 入 侵 迹 象 立 即 断 开 入 侵 者 与 主 机 的 连 接 ， 并 收 集 证 据 和 实 施 数 据 恢 复 。 这 个 检 测 过 程 是 不 断 循 环 进 行 的 。 3 、 入 侵 检 测 方 法 、 入 侵 检 测 方 法 入 侵 检 测 系 统 常 用 的 检 测 方 法 有 特 征 检 测 、 统 计 检 测 与 专 家 系 统 。 目 前 入 侵 检 测 系 统 绝 大 多 数 属 于 使 用 入 侵 模 板 进 行 模 式 匹 配 的 特 征 检 测 系 统 ， 其 他 少 量 是 采 用 概 率 统 计 的 统 计 检 测 系 统 与 基 于 日 志 的 专 家 系 统 。 （ （ 1 ） 特 征 检 测 ） 特 征 检 测
特 征 检 测 对 已 知 的 攻 击 或 入 侵 的 方 式 做 出 确 定 性 的 描 述 ， 形 成 相 应 的 事 件 模 式 。 当 被 审 计 的 事 件 与 已 知 的 入 侵 事 件 模 式 相 匹 配 时 ， 即 报 警 。 原 理 上 与 专 家 系 统 相 仿 。 其 检 测 方 法 与 计 算 机 病 毒 的 检 测 方 式 类 似 。 目 前 基 于 对 包 特 征 描 述 的 模 式 匹 配 应 用 较 为 广 泛 。 该 方 法 预 报 检 测 的 准 确 率 较 高 ， 但 对 于 无 经 验 知 识 的 入 侵 与 攻 击 行 为 无 能 为 力 。 （ （ 2 ） 统 计 检 测 ） 统 计 检 测 统 计 模 型 常 用 异 常 检 测 ， 在 统 计 模 型 中 常 用 的 测 量 参 数 包 括 ： 审 计 事 件 的 数 量 、 间 隔 时 间 、 资 源 消 耗 情 况 等 。 常 用 的 入 侵 检 测 的 统 计 模 型 有 ： 马 尔 可 夫 过 程 模 型 和 时 间 序 列 分 析 模 型 。 统 计 检 测 是 基 于 对 用 户 的 历 史 行 为 进 行 建 模 以 及 在 早 期 的 证 据 或 模 型 的 基 础 上 ， 审 计 系 统 实 时 地 检 测 用 户 对 系 统 的 使 用 情 况 ， 根 据 系 统 内 部 保 存 的 用 户 行 为 概 率 统 计 模 型 进 行 检 测 ， 当 发 现 有 可 疑 的 用 户 行 为 发 生 时 ， 保 持 跟 踪 并 监 测 、 记 录 该 用 户 的 行 为 。 统 计 检 测 的 最 大 优 点 是 它 可 以 “ 学 习 ” 用 户 的 使 用 习 惯 ， 从 而 获 得 较 高 的 检 出 率 与 可 用 性 。 但 是 它 的 “ 学 习 ” 能 力 也 给 入 侵 者 提 供 了 机 会 。 入 侵 者 可 以 通 过 逐 步 “ 训 练 ” 使 入 侵 事 件 符 合 正 常 操 作 的 统 计 规 律 ， 从 而 透 过 入 侵 检 测 系 统 。 （ （ 3 ） 专 家 系 统 ） 专 家 系 统 使 用 专 家 系 统 对 入 侵 进 行 检 测 ， 经 常 针 对 的 是 有 特 征 入 侵 的 行 为 。 所 谓 的 规 则 即 知 识 ， 不 同 的 系 统 与 设 置 具 有 不 同 的 规 则 ， 且 规 则 之 间 往 往 无 通 用 性 。 专 家 系 统 的 建 立 依 赖 于 知 识 库 的 完 备 性 ， 知 识 库 的 完 备 性 又 取 决 于 审 计 记 录 的 完 备 性 与 实 时 性 。 入 侵 的 特 征 抽 取 与 表 达 ， 是 入 侵 检 测 专 家 系 统 的 关 键 。 该 技 术 根 据 安 全 专 家 对 可 疑 行 为 的 分 析 经 验 来 建 立 一 套 推 理 规 则 ， 然 后 在 此 基 础 上 建 立 相 应 的 专 家 系 统 ， 由 此 专 家 系 统 即 可 自 动 进 行 对 所 涉 及 的 入 侵 行 为 的 分 析 工 作 。 该 系 统 应 当 能 够 随 着 经 验 的 积 累 而 利 用 其 自 学 能 力 进 行 规 则 的 扩 充 和 修 正 。 另 外 ， 入 侵 检 测 技 术 可 以 分 为 异 常 检 测 （ a n o m a l y   d e t e c t i o n ） 和 误 用 检 测 （ m i s u s e   d e t e c t i o n ） 。 异 常 检 测 是 提 取 正 常 模 式 下 审 计 数 据 的 数 学 特 征 ， 检 查 事 件 数 据 中 是 否 存 在 与 之 相 违 背 的 异 常 模 式 。 误 用 检 测 是 搜 索 审 计 事 件 数 据 ， 查 看 其 中 是 否 存 在 预 先 定 义 好 的 误 用 模 式 。 为 了 提 高 准 确 性 ， 入 侵 检 测 又 引 入 了 数 据 挖 掘 、 人 工 智 能 、 遗 传 算 法 等 技 术 。 但 是 ， 入 侵 检 测 技 术 还 没 有 达 到 尽 善 尽 美 的 程 度 ， 该 领 域 的 许 多 问 题 还 有 待 解 决 。 （ （ 4 ） 其 他 入 侵 检 测 方 法 ） 其 他 入 侵 检 测 方 法 随 着 入 侵 检 测 系 统 的 不 断 发 展 ， 研 究 人 员 又 提 出 了 一 些 新 的 入 侵 检 测 技 术 ， 这 些 技 术 不 能 简 单 地 归 结 为 误 用 检 测 或 异 常 检 测 ， 它 们 提 供 了 一 些 具 有 普 遍 意 义 的 分 析 技 术 。 这 些 技 术 具 体 包 括 基 于 免 疫 系 统 的 检 测 方 法 、 遗 传 算 法 和 基 于 内 核 的 检 测 方 法 等 。 1 ） 基 于 免 疫 系 统 的 检 测 方 法 ） 基 于 免 疫 系 统 的 检 测 方 法
免 疫 系 统 是 保 护 生 命 机 体 不 受 病 原 体 侵 害 的 系 统 ， 它 对 病 原 体 和 非 自 身 组 织 的 检 测 是 相 当 准 确 的 ， 不 但 能 够 记 忆 曾 经 感 染 过 的 病 原 体 的 特 征 ， 还 能 够 有 效 地 检 测 未 知 的 病 原 体 。 免 疫 系 统 具 有 分 层 保 护 、 分 布 式 检 测 、 各 部 分 相 互 独 立 和 检 测 未 知 病 原 体 的 特 性 ， 这 些 都 是 计 算 机 安 全 系 统 所 缺 乏 和 迫 切 需 要 的 。 免 疫 系 统 最 重 要 的 能 力 就 是 识 别 自 我 （ S e l f ） 和 非 我 （ N o n s e l f ） 的 能 力 ， 这 个 概 念 和 入 侵 检 测 中 的 异 常 检 测 的 概 念 很 相 似 。 因 此 ， 研 究 人 员 从 免 疫 学 的 角 度 对 入 侵 检 测 问 题 进 行 了 探 讨 。 2 ） 遗 传 算 法 ） 遗 传 算 法 另 一 种 较 为 复 杂 的 检 测 技 术 是 使 用 遗 传 算 法 对 审 计 事 件 记 录 进 行 分 析 。 遗 传 算 法 是 进 化 算 法 （ e v o l u t i o n a r y   a l g o r i t h m s ） 的 一 种 ， 通 过 引 入 达 尔 文 在 进 化 论 里 提 出 的 “ 自 然 选 择 ” 概 念 对 系 统 进 行 优 化 。 遗 传 算 法 通 常 针 对 需 要 进 行 优 化 的 系 统 变 量 进 行 编 码 ， 并 将 它 们 作 为 构 成 个 体 的 “ 染 色 体 ” ， 再 利 用 相 应 的 变 异 和 组 合 ， 形 成 新 的 个 体 。 在 遗 传 算 法 的 研 究 人 员 看 来 ， 入 侵 的 检 测 过 程 可 以 抽 象 为 ： 为 审 计 记 录 定 义 一 种 向 量 表 示 形 式 ， 这 种 向 量 或 者 表 示 攻 击 行 为 ， 或 者 表 示 正 常 行 为 。 通 过 对 所 定 义 的 向 量 进 行 测 试 ， 提 出 改 进 后 的 向 量 表 示 形 式 ， 并 不 断 重 复 这 一 过 程 ， 直 至 得 到 令 人 满 意 的 结 果 （ 攻 击 或 正 常 ） 。 3 ） 基 于 内 核 的 检 测 方 法 ） 基 于 内 核 的 检 测 方 法 随 着 开 放 源 代 码 的 操 作 系 统 L i n u x 的 流 行 ， 基 于 内 核 的 检 测 方 法 成 为 了 入 侵 检 测 的 新 方 向 。 这 种 方 法 的 核 心 是 从 操 作 系 统 的 层 次 上 看 待 安 全 漏 洞 ， 并 采 取 措 施 避 免 甚 至 杜 绝 安 全 隐 患 。 该 方 法 主 要 通 过 修 改 操 作 系 统 源 代 码 或 向 内 核 中 加 入 安 全 模 块 来 保 护 重 要 的 系 统 文 件 和 系 统 进 程 等 。 O p e n W a l l 和 L I D S 就 是 基 于 内 核 的 入 侵 检 测 系 统 。 4 、 蜜 罐 和 蜜 网 、 蜜 罐 和 蜜 网 现 行 入 侵 检 测 系 统 及 其 入 侵 检 测 技 术 ， 都 存 在 一 些 缺 陷 。 为 了 避 免 这 一 问 题 ， 科 技 人 员 引 入 了 网 络 诱 骗 技 术 ， 即 蜜 罐 （ H o n e y p o t ） 和 蜜 网 （ H o n e y n e t ） 技 术 。 （ （ 1 ） 蜜 罐 （ ） 蜜 罐 （ H o n e y p o t ） ） H o n e y p o t 是 一 种 全 新 的 基 于 网 络 的 入 侵 检 测 系 统 ， 它 诱 导 攻 击 者 访 问 预 先 设 置 的 H o n e y p o t 而 不 是 工 作 中 的 网 络 ， 可 以 提 高 检 测 攻 击 和 攻 击 者 行 为 的 能 力 ， 降 低 攻 击 带 来 的 破 坏 。 H o n e y p o t 的 目 的 有 两 个 ： 一 是 在 不 被 攻 击 者 察 觉 的 情 况 下 监 视 他 们 的 活 动 、 收 集 与 攻 击 者 有 关 的 所 有 信 息 ； 二 是 牵 制 攻 击 者 ， 让 攻 击 者 将 时 间 和 资 源 都 耗 费 在 攻 击 H o n e y p o t 上 ， 使 攻 击 者 远 离 实 际 的 工 作 网 络 。 为 了 达 到 这 两 个 目 的 ， H o n e y p o t 的 设 计 方 式 必 须 与 实 际 的 系 统 一 样 ， 还 应 包 括 一 系 列 能 够 以 假 乱 真 的 文 件 、 目 录 及 其 他 信 息 。 这 样 ， 攻 击 者 一 旦 入 侵 H o n e y p o t ， 就 会 以 为 自 己 控 制 了 一 个 很 重 要 的 系 统 ， 并 会 充 分 施 展 “ 才 能 ” 。 而 H o n e y p o t 就 像 监 视 器 一 样 监 视 攻 击 者 的 所 有 行 动 ： 记 录 攻 击 者 的 访 问 企 图 ， 捕 获 击 键 ， 确 定 被 访 问 、 修 改 或 删 除 的 文 件 ， 指
出 被 攻 击 者 运 行 的 程 序 等 。 H o n e y p o t 会 从 捕 获 的 数 据 中 学 习 攻 击 者 的 技 术 ， 分 析 系 统 存 在 的 脆 弱 性 和 受 害 程 序 ， 以 便 做 出 准 确 、 快 速 的 响 应 。 H o n e y p o t 可 以 是 这 样 的 一 个 系 统 ： 模 拟 某 些 已 知 的 漏 洞 或 服 务 、 模 拟 各 种 操 作 系 统 、 在 某 个 系 统 上 进 行 设 置 以 使 它 变 成 “ 牢 笼 ” 环 境 或 者 是 一 个 标 准 的 操 作 系 统 ， 在 上 面 可 以 打 开 各 种 服 务 。 H o n e y p o t 与 基 于 网 络 的 入 侵 检 测 系 统 相 比 ， 具 有 以 下 特 点 。 1 ） 较 小 的 数 据 量 ） 较 小 的 数 据 量 H o n e y p o t 仅 收 集 那 些 对 它 进 行 访 问 的 数 据 。 在 同 样 的 条 件 下 ， 基 于 网 络 的 入 侵 检 测 系 统 可 能 会 记 录 成 千 上 万 的 报 警 信 息 ， 而 H o n e y p o t 却 只 记 录 几 百 条 。 这 就 使 得 H o n e y p o t 收 集 信 息 更 容 易 ， 分 析 信 息 也 更 方 便 。 2 ） 减 少 误 报 率 ） 减 少 误 报 率 H o n e y p o t 能 显 著 减 少 误 报 率 。 任 何 对 H o n e y p o t 的 访 问 都 是 未 授 权 的 、 非 法 的 ， 这 样 ， H o n e y p o t 检 测 攻 击 就 非 常 有 效 ， 从 而 可 以 大 大 减 少 甚 至 避 免 错 误 的 报 警 信 息 。 网 络 安 全 人 员 可 以 集 中 精 力 采 取 其 他 的 安 全 措 施 ， 如 及 时 添 加 软 件 补 丁 等 。 3 ） 捕 获 漏 报 ） 捕 获 漏 报 H o n e y p o t 可 以 很 容 易 地 鉴 别 并 捕 获 针 对 它 的 新 的 攻 击 行 为 。 由 于 针 对 H o n e y p o t 的 任 何 操 作 都 不 是 正 常 的 ， 因 此 任 何 新 的 、 以 前 没 有 过 的 攻 击 很 容 易 暴 露 。 4 ） 资 源 最 小 化 ） 资 源 最 小 化 H o n e y p o t 所 需 要 的 资 源 很 少 ， 即 使 工 作 在 一 个 大 型 网 络 环 境 中 也 是 如 此 。 一 个 简 单 的 P e n t i u m 主 机 可 以 模 拟 具 有 多 个 I P 地 址 的 C 类 网 络 。 （ （ 2 ） 蜜 网 （ ） 蜜 网 （ H o n e y n e t ） ） H o n e y n e t 的 概 念 是 由 H o n e y p o t 发 展 而 来 的 。 起 初 人 们 为 了 研 究 黑 客 的 入 侵 行 为 ， 在 网 络 上 放 置 了 一 些 专 门 的 计 算 机 ， 并 在 上 面 运 行 专 用 的 模 拟 软 件 ， 以 使 这 些 计 算 机 在 外 界 看 来 就 是 网 络 上 运 行 某 些 操 作 系 统 的 主 机 。 把 这 些 计 算 机 放 在 网 络 上 ， 并 为 之 设 置 较 低 的 安 全 防 护 等 级 ， 可 使 入 侵 者 比 较 容 易 地 进 入 系 统 。 入 侵 者 进 入 系 统 后 ， 其 一 切 行 为 都 会 在 系 统 软 件 的 监 控 和 记 录 之 下 。 系 统 软 件 通 过 收 集 描 述 入 侵 者 行 为 的 数 据 ， 可 以 对 入 侵 者 的 行 为 进 行 分 析 。 目 前 H o n e y p o t   的 软 件 已 经 有 很 多 ， 可 以 模 拟 各 种 各 样 的 操 作 系 统 ， 如 W i n d o w s 、 R a d H a t 、 F r e e B S D ， 甚 至 C i s c o 路 由 器 的 i O S ， 但 是 模 拟 软 件 不 能 完 全 反 映 真 实 的 网 络 状 况 ， 也 不 可 能 模 拟 实 际 网 络 中 所 出 现 的 各 种 情 况 ， 在 其 上 收 集 到 的 数 据 有 很 大 的 局 限 性 ， 因 此 就 出 现 了 由 真 实 计 算 机 组 成 的 网 络 H o n e y n e t 。
1 ） ） H o n e y n e t 与 与 H o n e y p o t 的 区 别 的 区 别 H o n e y n e t 与 传 统 意 义 上 的 H o n e y p o t 有 3 个 最 大 的 不 同 。 ①   一 个 H o n e y n e t 是 一 个 网 络 系 统 ， 而 并 非 某 台 单 一 主 机 。 这 一 网 络 系 统 是 隐 藏 在 防 火 墙 后 面 的 ， 所 有 进 出 的 数 据 都 会 被 其 关 注 、 捕 获 并 控 制 。 这 些 被 捕 获 的 数 据 可 以 帮 助 我 们 研 究 分 析 入 侵 者 使 用 的 工 具 、 方 法 及 动 机 。 在 这 个 H o n e y n e t 中 ， 可 以 使 用 各 种 不 同 的 操 作 系 统 及 设 备 ， 如 S o l a r i s 、 L i n u x 、 W i n d o w s   N T 、 C i s c o   S w i t c h 等 。 这 样 建 立 的 网 络 环 境 看 上 去 会 更 加 真 实 可 信 ， 同 时 我 们 还 在 不 同 的 系 统 平 台 上 运 行 着 不 同 的 服 务 ， 如 L i n u x 的 D N S   s e r v e r ， W i n d o w s   N T 的 W e b   s e r v e r 或 者 一 个 S o l a r i s 的 F T P   s e r v e r 。 我 们 可 以 学 习 不 同 的 工 具 以 及 不 同 的 策 略 ， 或 许 某 些 入 侵 者 仅 把 目 标 定 于 几 个 特 定 的 系 统 漏 洞 上 ， 而 多 样 化 的 系 统 可 能 会 揭 示 出 关 于 入 侵 者 更 多 的 特 性 。 ②   H o n e y n e t 中 的 所 有 系 统 都 是 标 准 的 机 器 ， 上 面 运 行 的 都 是 真 实 完 整 的 操 作 系 统 及 应 用 程 序 。 H o n e y n e t 不 会 刻 意 地 模 拟 某 种 环 境 或 者 故 意 地 使 系 统 不 安 全 。 在 H o n e y n e t 里 面 找 到 的 存 在 风 险 的 系 统 ， 与 互 联 网 上 的 一 些 系 统 别 无 二 致 。 将 普 通 的 操 作 系 统 放 入 H o n e y n e t 中 ， 并 不 会 对 整 个 网 络 造 成 影 响 。 ③   H o n e y p o t 通 过 把 系 统 的 脆 弱 性 暴 露 给 入 侵 者 或 是 故 意 使 用 一 些 具 有 强 烈 诱 惑 性 的 假 信 息 （ 如 战 略 性 目 标 、 年 度 报 表 等 ） 来 诱 骗 入 侵 者 。 这 样 虽 然 可 以 对 入 侵 者 进 行 跟 踪 ， 但 也 会 引 来 更 多 的 潜 在 入 侵 者 （ 他 们 因 好 奇 而 来 ） 。 而 更 进 一 步 ， 应 该 在 实 际 的 系 统 中 运 行 入 侵 检 测 系 统 ， 当 检 测 到 入 侵 行 为 时 ， 才 能 进 行 诱 骗 ， 这 样 才 能 更 好 地 保 护 系 统 。 H o n e y n e t 是 在 入 侵 检 测 的 基 础 上 实 现 入 侵 诱 骗 的 ， 这 与 目 前 H o n e y p o t 的 理 论 差 别 很 大 。 2 ） ） H o n e y n e t 原 型 系 统 原 型 系 统 图 2 所 示 为 将 防 火 墙 、 入 侵 检 测 系 统 、 二 层 网 关 和 H o n e y n e t 有 机 地 结 合 起 来 ， 设 计 了 一 个 H o n e y n e t 的 原 型 系 统 。 图 2     H o n e y n e t 原 型 系 统 在 图 2 中 ， 外 部 防 火 墙 与 系 统 原 有 安 全 措 施 兼 容 ， 只 需 对 其 安 全 策 略 进 行 调 整 ， 使 之 适 应 加 入 的 H o n e y n e t 诱 骗 系 统 即 可 。 在 原 型 系 统 中 实 现 H o n e y n e t 的 入 侵 检 测 子 系 统 和 入 侵 行 为 重 定 向 子 系 统 。
图 2 中 采 用 了 最 新 H o n e y n e t 技 术 ， 即 二 层 网 关 （ 也 称 网 桥 ） 。 由 于 网 桥 没 有 I P 协 议 栈 ， 也 就 没 有 I P 地 址 、 路 由 通 信 量 及 T T L 缩 减 等 特 征 ， 因 此 入 侵 者 很 难 发 现 网 桥 的 存 在 ， 也 永 远 不 知 道 自 己 正 处 于 被 分 析 和 监 控 之 中 。 而 且 所 有 出 入 H o n e y n e t 的 通 信 量 必 须 通 过 网 桥 ， 这 意 味 着 在 单 一 的 网 桥 设 备 上 就 可 以 实 现 对 全 部 出 入 通 信 量 的 数 据 控 制 和 捕 获 。 通 过 对 网 桥 上 的 r c . f i r e w a l l 和 s n o r t . s h 等 脚 本 进 行 配 置 可 以 实 现 H o n e y n e t 的 防 火 墙 与 入 侵 检 测 系 统 的 智 能 连 接 控 制 、 防 火 墙 日 志 以 及 入 侵 检 测 系 统 日 志 功 能 。 网 桥 有 A 、 B 、 C 三 个 网 络 接 口 。 A 接 口 用 于 和 外 部 防 火 墙 相 连 ， 接 收 重 定 向 进 来 的 属 于 可 疑 或 真 正 入 侵 的 网 络 连 接 ； B 接 口 用 于 H o n e y n e t 内 部 管 理 以 及 远 程 日 志 等 功 能 ； C 接 口 用 于 和 H o n e y p o t 主 机 相 连 ， 进 行 基 于 网 络 的 入 侵 检 测 ， 实 时 记 录 H o n e y n e t 系 统 中 的 入 侵 行 为 。 网 桥 上 可 以 根 据 需 要 运 行 网 络 流 量 仿 真 软 件 ， 通 过 仿 真 流 量 来 麻 痹 入 侵 者 。 路 由 器 、 外 部 防 火 墙 和 网 桥 为 H o n e y n e t 提 供 了 较 高 的 安 全 保 障 。 两 台 H o n e y p o t 主 机 各 自 虚 拟 两 个 客 户 操 作 系 统 ， 4 个 客 户 操 作 系 统 分 别 拥 有 各 自 的 网 络 接 口 ， 根 据 D M A 区 的 应 用 服 务 来 模 拟 部 署 脆 弱 性 服 务 ， 并 应 用 I P 空 间 欺 骗 技 术 来 增 加 入 侵 者 的 搜 索 空 间 ， 运 用 网 络 流 量 仿 真 、 网 络 动 态 配 置 和 组 织 信 息 欺 骗 等 多 种 网 络 攻 击 诱 骗 技 术 来 提 高 H o n e y n e t 的 诱 骗 质 量 。 通 过 这 种 虚 实 结 合 的 方 式 来 构 建 一 个 虚 拟 H o n e y n e t 脆 弱 性 模 拟 子 系 统 ， 使 其 与 入 侵 者 进 行 交 互 周 旋 。 为 了 进 行 隐 蔽 的 远 程 日 志 和 H o n e y n e t 管 理 工 作 ， 在 H o n e y p o t 主 机 的 宿 主 操 作 系 统 、 网 桥 和 远 程 日 志 服 务 器 上 分 别 添 加 一 个 网 卡 ， 使 它 们 互 连 成 一 个 对 入 侵 者 透 明 的 私 有 网 络 。 远 程 日 志 服 务 器 除 了 承 担 远 程 传 来 的 防 火 墙 日 志 、 入 侵 检 测 系 统 日 志 以 及 H o n e y p o t 系 统 日 志 三 重 日 志 的 数 据 融 合 工 作 以 外 ， 还 充 当 了 H o n e y n e t 的 入 侵 行 为 控 制 中 心 ， 对 H o n e y n e t 各 个 子 系 统 进 行 协 调 、 控 制 和 管 理 。 远 程 日 志 服 务 器 的 安 全 级 别 最 高 ， 可 以 令 所 有 不 需 要 的 服 务 关 闭 。 5 、 恶 意 软 件 检 测 、 恶 意 软 件 检 测 计 算 机 病 毒 是 人 为 制 造 的 、 能 够 进 行 自 我 复 制 的 、 具 有 破 坏 计 算 机 资 源 作 用 的 一 组 程 序 或 指 令 的 集 合 。 计 算 机 病 毒 把 自 身 附 着 在 各 种 类 型 的 文 件 上 或 寄 生 在 存 储 媒 介 中 ， 能 对 计 算 机 系 统 和 网 络 进 行 各 种 破 坏 ， 同 时 有 独 特 的 复 制 能 力 和 传 染 性 ， 能 够 自 我 复 制 和 传 染 。 计 算 机 病 毒 种 类 繁 多 、 特 征 各 异 ， 但 一 般 具 有 自 我 复 制 能 力 、 感 染 性 、 潜 伏 性 、 触 发 性 和 破 坏 性 。 目 前 典 型 的 病 毒 检 测 方 法 的 介 绍 如 下 。 1 ） 直 接 检 查 法 ） 直 接 检 查 法 感 染 了 病 毒 的 计 算 机 系 统 的 内 部 会 发 生 某 些 变 化 ， 并 会 在 一 定 的 条 件 下 表 现 出 来 ， 因 而 可 以 通 过 直 接 观 察 法 来 判 断 系 统 是 否 感 染 病 毒 。 2 ） 特 征 代 码 法 ） 特 征 代 码 法 特 征 代 码 法 是 检 测 已 知 病 毒 的 最 简 单 、 最 经 济 的 方 法 。 为 了 实 现 特 征 代 码 法 ， 需 要 采 集 已 知 病 毒 样 本 ， 依 据 如 下 原 则 抽 取 特 征 代 码 ： 抽 取 的 代 码 比 较 特 殊 ， 不 大 可 能 与 普 通 的 正 常 程 序 代 码 吻 合 ； 抽 取 的 代 码 要 有 适 当 的 长 度 ， 一 方 面 要 维 持 特 征 代 码 的 唯 一 性 ， 另 一 方 面 要 尽 量 使 特 征 代 码 长 度 短 些 ， 以 减 少 空 间 与 时 间 开 销 。
特 征 代 码 法 的 优 点 是 ： 检 测 准 确 快 速 、 可 识 别 病 毒 的 名 称 、 误 报 警 率 低 、 依 据 检 测 结 果 做 解 毒 处 理 。 缺 点 是 ： 一 方 面 ， 不 能 检 测 未 知 病 毒 ； 另 一 方 面 ， 搜 集 已 知 病 毒 的 特 征 代 码 的 开 销 大 ， 在 网 络 上 的 运 行 效 率 低 （ 在 网 络 上 ， 长 时 间 检 索 会 使 整 个 网 络 性 能 变 差 ） 。 3 ） 校 验 和 法 ） 校 验 和 法 校 验 和 法 是 指 计 算 正 常 文 件 内 容 的 校 验 和 ， 并 将 该 校 验 和 写 入 文 件 中 或 写 入 别 的 文 件 中 进 行 保 存 。 在 文 件 使 用 过 程 中 ， 定 期 地 或 每 次 使 用 文 件 前 ， 检 查 文 件 当 前 内 容 算 出 的 校 验 和 与 原 来 保 存 的 校 验 和 是 否 一 致 ， 从 而 发 现 文 件 是 否 被 感 染 。 虽 然 病 毒 感 染 会 引 起 文 件 内 容 变 化 ， 但 是 校 验 和 法 对 文 件 内 容 的 变 化 太 过 敏 感 ， 又 不 能 区 分 是 否 是 正 常 程 序 引 起 的 变 化 ， 因 而 会 频 繁 报 警 。 当 遇 到 软 件 版 本 更 新 、 口 令 变 更 、 运 行 参 数 修 改 时 ， 校 验 和 法 都 会 误 报 警 ； 校 验 和 法 对 隐 蔽 性 病 毒 无 效 。 隐 蔽 性 病 毒 进 驻 内 存 后 ， 会 自 动 剥 去 染 毒 程 序 中 的 病 毒 代 码 ， 使 校 验 和 法 受 骗 （ 对 一 个 有 毒 文 件 算 出 正 常 校 验 和 ） 。 运 用 校 验 和 法 查 病 毒 可 采 用 3 种 方 式 ： 在 检 测 病 毒 工 具 中 纳 入 校 验 和 法 、 在 应 用 程 序 中 放 入 校 验 和 法 自 我 检 查 功 能 、 使 校 验 和 检 查 程 序 常 驻 内 存 以 实 时 检 查 待 运 行 的 应 用 程 序 。 校 验 和 法 的 优 点 ： 方 法 简 单 ， 能 发 现 未 知 病 毒 ， 被 查 文 件 的 细 微 变 化 也 能 被 发 现 。 校 验 和 法 的 缺 点 ： 发 布 通 信 记 录 正 常 态 的 校 验 和 ， 误 报 警 ， 无 法 识 别 病 毒 名 称 ， 无 法 对 付 隐 蔽 型 病 毒 。 4 ） 行 为 监 测 法 ） 行 为 监 测 法 利 用 病 毒 的 特 有 行 为 来 监 测 病 毒 的 方 法 ， 称 为 行 为 监 测 法 。 通 过 对 病 毒 多 年 的 观 察 和 研 究 发 现 ， 有 一 些 行 为 是 病 毒 的 共 同 行 为 ， 而 且 比 较 特 殊 。 在 正 常 程 序 中 ， 这 些 行 为 比 较 罕 见 。 当 程 序 运 行 时 ， 监 视 其 行 为 ， 如 果 发 现 了 病 毒 行 为 ， 立 即 报 警 。 行 为 监 测 法 的 优 点 ： 可 发 现 未 知 病 毒 ， 可 相 当 准 确 地 预 报 未 知 的 多 数 病 毒 。 行 为 监 测 法 的 缺 点 ： 可 能 误 报 警 ， 无 法 识 别 病 毒 名 称 ， 实 现 时 有 一 定 难 度 。 5 ） 软 件 模 拟 法 ） 软 件 模 拟 法 多 态 性 病 毒 在 每 次 感 染 时 都 会 变 化 其 病 毒 密 码 ， 对 付 这 种 病 毒 ， 特 征 代 码 法 将 失 效 。 因 为 多 态 性 病 毒 代 码 实 施 密 码 化 ， 而 且 每 次 所 用 密 钥 不 同 ， 所 以 即 使 将 感 染 了 病 毒 的 代 码 相 互 比 较 ， 也 无 法 找 出 相 同 的 可 能 作 为 特 征 的 稳 定 代 码 。 虽 然 行 为 检 测 法 可 以 检 测 多 态 性 病 毒 ， 但 是 在 检 测 出 病 毒 后 ， 因 为 不 清 楚 病 毒 的 种 类 ， 所 以 难 以 做 消 毒 处 理 。 为 了 检 测 多 态 性 病 毒 ， 可 应 用 新 的 检 测 方 法 — — 软 件 模 拟 法 ， 即 用 软 件 方 法 来 模 拟 和 分 析 程 序 的 运 行 。 新 型 检 测 工 具 纳 入 了 软 件 模 拟 法 ， 该 类 工 具 开 始 运 行 时 ， 使 用 特 征 代 码 法 检 测 病 毒 ， 如 果 发 现 隐 蔽 病 毒 或 多 态 性 病 毒 嫌 疑 时 ， 则 启 动 软 件 模 拟 模 块 ， 监 视 病 毒 的 运 行 ， 待 病 毒 自 身 的 密 码 译 码 后 ， 再 运 用 特 征 代 码 法 来 识 别 病 毒 的 种 类 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理