一种基于粒子群的变形病毒检测算法

朱俚治

【 摘 要 】 恶意代码行为捕获是进行恶意代码行为分析，提高防御恶意代码能力的基础。当前，随着恶意代码技术的发展，恶意代码结构及其通信活动日益复杂，使得传统的恶意代码行为捕获技术难以有效应对恶意代码的攻击与破坏。如何更加有效地捕获恶意代码行为成了目前信息安全领域的研究热点。基于此目的，本文在充分利用Agent的自主性和适应性，实时采集目标系统的状态信息的基础上，提出了一种基于多Agent的恶意代码行为捕获方案，分析了其行为捕获流程，介绍了功能模块组成，并基于Windows平台实现了该方案，为下一步针对恶意代码分析及防御提供了良好的基础。

【 关键词 】 恶意代码；多智能体；行为捕获；行为知识库

【 中图分类号 】 TP393.08 【 文献标识码 】 A

1 引言

现有行为捕获系统往往采用多种手段来捕获恶意代码行为。例如Windows上的文件读写类系统调用可以直接使用API HOOK来捕获，也可以通过文件系统驱动来捕获。不管行为捕获系统怎样实现，最终表现形式都是如实地详细记录恶意代码的主要调用行为。同时行为检测技术已是网络安全领域的重要研究对象，成为了网络研究体系中不可或缺的一部分。

目前已有一些基于主机或基于网络的行为捕获技术，并通过仿真实验及实际应用中证实了其有效性。现阶段应用比较广泛的行为捕获工具都是由国外研究机构所开发，如Nepenthes、ManTrsq、KFSensor、honeyd、DTK、Process Monitor、pymon.py、Ether等，其中具有代表性的为Nepenthes、Process monitor、 Ether三款工具。

Nepenthes由德国人Markus Koetter和Paul Baecher等人所开发。……