[发明专利]一种嵌入式处理器的未知恶意代码检测方法

说明书

本发明公开了一种嵌入式处理器的未知恶意代码检测方法，包括创建嵌入式系统自体集、生成检测器集、检测未知恶意代码的步骤；在处理器指令级对系统内正常程序的指令序列信息进行采集编码生成二进制串集合作为自体集，随机生成二进制串作为候选检测器，并将其与自体集中的元素进行否定选择生成检测器集；利用检测器集里的二进制串与从指令级收集到的待检测代码的行为信息二进制串进行匹配；采用双阈值的海民规则进行自体集的二进制串、检测器二进制串以及待检测二进制串之间的模糊匹配，以提高对未知恶意代码的检测率，降低检测系统的资源消耗；本发明中的自体集与检测器集均采用CAM字内存可寻址存储器存储，以提高查找匹配效率，提高检测器的生成效率。

技术领域

本发明属于数字集成电路和嵌入式系统安全技术领域，更具体地，涉及一种嵌入式处理器的未知恶意代码检测方法。

背景技术

近些年来，嵌入式系统受到来自恶意代码的威胁日趋严重。现有技术中，解决嵌入式系统易受到恶意软件攻击的方法大都延用传统病毒防御方法，有如下几种：

(1)基于哈希摘要的恶意代码检测技术：利用哈希函数的特性对系统中文件等资源进行完整性校验，判断是否被恶意代码篡改；方法对于各类恶意代码具有较好的通用性，但是误报率较高。

(2)基于特征码的恶意代码检测技术：利用特征码区分恶意代码文件与正常文件；该方法对于已知恶意代码有较高的检测率，误报率低，可准确的对应恶意代码的名称和类型；但其检测率依赖于对恶意代码的准确分析，需要获得恶意代码样本文件之后提取恶意代码的特征码；对于使用了加密和指令变换等技术隐藏或改变了特征码的恶意代码不能有效检测；随着恶意代码数目的增加，恶意代码特征库越来越大，对检测速度造成较大制约；由于嵌入式系统资源十分有限，这一点尤其制约了该技术在嵌入式系统病毒防御中的应用。

(3)基于启发式的恶意代码检测技术：该方法通过析引擎基于规则库进行处理，通过匹配可能代表恶意代码的规则检测目标文件，匹配的话则分配一个分值，如果目标文件的总分值超过了预设的阈值，则文件被标识为可疑的恶意代码程序并进行处理；该方法可以提高未知恶意代码检测率，但同样增加误报的风险，同时启发式分析的计算复杂度要高于特征码匹配，这也将降低杀毒软件的处理速度；攻击者可以通过降低恶意代码的危险特征，规避杀毒软件的启发式分规则，降低被检出的可能性。

发明内容

针对现有技术的以上缺陷或改进需求，本发明提供了一种嵌入式处理器的未知恶意代码检测方法,其目的在于解决现有检测方法资源开销过高的问题。

为实现上述目的，按照本发明的一个方面，提供了一种嵌入式处理器的未知恶意代码检测方法，具体如下：

(1)从嵌入式系统正常程序的运行过程中提取指令序列二进制串，存储在自体集存储器里，作为自体集；

自体集里不存在的二进制串的集合则为非自体集；通过该步骤划分自体集与非自体集；在程序运行过程中从嵌入式处理器流水线上获取二进制串，若该二进制串属于自体集则是当前运行的程序是正常的，若属于非自体集则判断为恶意代码；

(2)随机生成二进制串作为候选检测器，利用双阈值的海民匹配规则将候选检测器与上述自体集进行否定选择，获得覆盖高且与自体集交叉最小的检测器集；

其中，作为候选检测器的二进制串的长度与自体集里的二进制串长度一致；经过上述否定选择获得的检测器集里的每一个二进制串都不会与自体集里的二进制串发生匹配，由此避免误报；并且，由于新加入检测器集的二进制串不会与检测器集里已有的二进制串发生匹配，所以避免了检测器集覆盖空间重叠的问题；

(3)利用检测器集里的二进制串与从指令级收集到的待检测代码的行为信息二进制串进行匹配；若发生匹配则表明运行中的代码为恶意代码。

优选地，步骤(1)生成自体集的过程具体如下：