特洛伊木马及免疫检测技术研究

• 作 者: 林小进
• 机 构: 南京工业大学
• 出 处: 南京工业大学
• 发表日期: 2008年期
• 关键词: 特洛伊木马 系统调用 免疫检测技术 网络安全 工作原理

随着因特网与计算机技术的飞速发展，网络应用已触及到社会生活的各个角落。而目前的网络安全现状不容乐观，安全威胁层出不穷。特洛伊木马作为一种主要攻击手段，具有较强的隐蔽性和危害性，正日益受到黑客们的青睐，在网络攻击中扮演着越来越重要的角色。因此，如何有效检测木马攻击成为一个新的研究方向。　　
本文从总体上对木马工作原理进行了概述，指出木马与其它安全威胁的不同之处，并介绍了当前广泛采用的一些反木马技术。而后详细分析了木马中的一些关键技术并给出实现，如隐藏技术与通信技术。研究这些技术有助于我们更好的预防和检测木马。　　
当前木马检测技术面临的主要问题是不能有效检测变种木马和新出现的未知木马。通过深入研究生物免疫系统原理中各种信息处理机制后，发现生物体生存环境与计算机系统安全环境具有惊人的相似性，因此可以利用免疫原理、机制和各种免疫算法来解决网络安全问题，包括木马的检测等。　　
本文在对木马行为分析的基础上，建立了一个基于免疫的木马检测模型。该模型将采集到的进程的系统调用序列作为抗原，检测器集(成熟检测器集与记忆检测器集)来模拟抗体，通过抗体与抗原间的匹配达到检测的目的。其中记忆检测器集用来检测已知木马，可以提高模型对已知木马的检测效率。而成熟检测器集通过未成熟检测器集与自体集的否定选择生成。同时在模型中，自体集具有动态演化机制，检测器集具有动态生成及演化机制。这些机制使模型具有自学习性和适应性等优点，从而可以检测出变种木马和未知木马，弥补了传统检测方法的不足。　　
为了验证模型的有效性，设计了一个小范围的仿真实验。实验结果表明，该模型具有较强的木马检测能力，且误报率较低。