基于层次关系分析的一种软件行为检测方法-论文.pdf

《基于层次关系分析的一种软件行为检测方法-论文.pdf》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、小型微型计算机系统2014年9月第9期JournalofChineseComputerSystemsVO1．35NO．92Ol4基于层次关系分析的一种软件行为检测方法申利民，杨慧锋，马川I，王涛(燕山大学信息科学与工程学院河北省计算机虚拟技术与系统集成重点实验室，秦皇岛066004)E—mail：yanglizhuang87@163．com摘要：为了提高软件行为判定的精确性，提出了一种基于层次关系分析的软件行为检测方法．首先，截获系统调用并提取动作特征，通过分析单一动作的栈返回地址、动作名称、绑定关系，关键属性得到点内关系，通过分析动作间的依赖和传递关系得到线阃关系，并将各动作组成任务；然

2、后，分析各任务间控制分支点动作的控制承接关系得到网间关系，进而利用这些层次关系生成软件行为模型；最后，比对待检测行为是否符合模型中记录的各动作之间关系，做出行为是否有害的判定．实验和分析结果表明：利用该方法能够准确描述动作流程，提高了检测准确度和效率．关键词：软件行为；行为检测；系统调用；层次关系分析中图分类号：TP311文献标识码：A文章编号：1000—1220(2014)09—1949-07SoftwareBehaviorDetectionMethodBasedonHierarchicalRelationAnalysisS脏NLi-min，YANGHui—Feng。MAChuan。WA

3、NGTao(CollegeofInformationScienceandEngineering。YanshanUniversity／ComputerVirtualTechnology&SystemIntegrationKeyLaboratoryofHebeiProvince。Qinhuangdao066004，China)Abstract：InordertoimprovetheaccuracyofsoftwarebehaviorSjudgment，thispaperproposesadetectionmethodbasedonhierar-chicalrelationanalysisofs

4、oftwarebehavior．Firstly。itinterceptsthesystemcallandfromwhichextractsactioncharacteristics，then0b—tainsinternalrelationbyanalyzingstack—return—address，actionname，bindingrelationandkeyattributeinasingleactionIobtainslinerelationbyanalyzingdependencyandtransitiverelationbetweenthetwoactions。andsomea

5、ctionscomposeatask．WhatSmore，itac—quiresinterconnectrelationbyanalyzingthecontrol—orderrelationwhichamongsomedifferenttasks．Sothehierarchicalrelationscon—structsoftwarebehaviormode1．Finally。itmakesjudgmentthatwhetherthebehaviorisharmfulornotthatcomparingthehierarchicalrelationoftheupcomingbehavior

6、withtherelationinthemode1．111eexperimentsandanalysisresultsshowthatusingthismethodCannotonlyaccuratelydescribetheactionprocess，butalsohasimprovedthedetectionaccuracyandapplicability．Keywords：softwarebehavior；behaviordetection；systemcalls；hierarchicalrelationanalysis1引言构，其最大缺点是存在不可能路径问题．此外，上述几种模型由于

7、只考虑了系统调用的时序关系而没有考虑系统调用随着Internet的高度发展，原来封闭环境下的软件系统逐参数信息，使其无法对抗那些没有改变控制流的攻击行为．渐转到开放的Intemet环境中，其可生存性受到安全漏洞、恶Kruegel_4获取单个系统调用参数的字符串的长度和字符分意代码、内部人员非法攻击和误操作等各方面的严重威胁，而布规律等，Sufatrio对单个系统调用参数进行抽象分类，两传统的基于代码特征匹配的杀毒技术较难