恶意程序检测与分类系统的设计与实现

《恶意程序检测与分类系统的设计与实现》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、西安电子科技大学学位论文独创性（或创新性）声明秉承学校严谨的学分和优良的科学道德，本人声明所呈交的论文是我个人在导师指导下进行的研究工作及取得的研究成果。尽我所知，除了文中特别加以标注和致谢中所罗列的内容以外，论文中不包含其他人已经发表或撰写过的研究成果；也不包含为获得西安电子科技大学或其它教育机构的学位或证书而使用过的材料。与我一同工作的同志对本研究所做的任何贡献均已在论文中做了明确的说明并表示了谢意。申请学位论文与资料若有不实之处，本人承担一切的法律责任。本人签名：日期西安电子科技大学关于论文使用授权的说明本人完全了解

2、西安电子科技大学有关保留和使用学位论文的规定，即：研究生在校攻读学位期间论文工作的知识产权单位属西安电子科技大学。学校有权保留送交论文的复印件，允许查阅和借阅论文；学校可以公布论文的全部或部分内容，可以允许采用影印、缩印或其它复制手段保存论文。同时本人保证，毕业后结合学位论文研究课题再攥写的文章一律署名单位为西安电子科技大学。（保密的论文在解密后遵守此规定）本学位论文属于保密，在年解密后适用本授权书。本人签名：日期导师签名：日期摘要摘要由于计算机网络的发展以及恶意程序编码水平的提高，传统的恶意程序检测技术的不足已经越来越明

3、显，很难满足人们对信息安全的需求。基于行为的恶意程序检测技术是利用恶意程序的特有行为特征来检测程序恶意性的方法，它能很好地检测未知恶意程序。这种恶意程序检测技术可以很好地适应恶意程序逐渐呈现的新特点，无疑具有巨大的优越性和广阔的发展空间，应该在今后相当长时间内代表着恶意程序检测技术的发展趋势。本文从样本程序的API调用信息中提取出恶意程序行为特征，实现了一个基于行为特征的恶意程序检测与分类系统。本文从系统的需求出发，设计了系统的体系结构和各个模块的功能接口，并对系统中的系统管理与调度模块、预处理与静态分析模块、部分动态分析

4、模块和部分检测分类模块的内容进行了实现。其中系统管理和调度模块负责对样本文件的管理和样本分析过程中各个功能模块的调度；预处理与静态分析模块负责将用户导入的粗糙的样本处理成系统可以直接分析的样本，并在不运行样本的情况下提取其静态文件信息；动态分析模块中使用QEMU作为样本运行的沙盒环境，并在QEMU的虚拟机监控层采集样本的API调用信息，解决了传统的APIhook机制捕获API的不足；检测分类模块中采用决策树算法来构建分类器，模拟了智能的决策过程并有效解决了多分类的问题。此外，本文还从软件工程的角度对系统的用户交互和数据库进

5、行了规范化的设计与实现，并且详细描述了数据在系统内部的逻辑流向和逻辑变换过程。通过大量的恶意程序样本对系统进行测试的结果表明，本系统具有较高的分类准确率和较低的误报率，且能快速生成未知程序行为报告提供给反病毒分析人员进一步深入分析。关键词：恶意程序应用程序编程接口（API）QEMU决策树ABSTRACTAbstractWiththedevelopmentofcomputernetworkandimprovementofmalwareprogramming,traditionalmalwaredetectionmethods

6、seemobviouslyinadequate,failingtosatisfytheneedofpeopleforinformationsecurity.Themalwaredetectionbasedonbehaviorisamethodwhichachievesdetectionthroughmakinguseofthepeculiarbehaviorfeaturesofmalware.Itdoeswellindetectingtheunknownmalware.Thismalwaredetectiontechniq

7、uecouldbeadjustedtotheemergingnewfeaturesofmalware,whichhasgreatsuperiorityandbroadspacefordevelopmentundoubtedly.Consequently,itcouldbethedevelopmenttendencyofmalwaredetectioninalongtime.ThisdissertationextractsthemalwarebehaviorfeaturefromAPIcallinginformationof

8、samplingprograms,furthermoreimplementsamalwaredetectionandclassificationsystembasedonbehaviorfeatures.Tomeetthedemandofsystem,thisdissertationdesignsthe