[发明专利]一种基于拓展攻击树模型的木马检测方法

说明书

本发明针对现有技术中特征表达不足、漏报率和误报率高、攻击树节点权重设置不合理等问题，提出一种基于拓展攻击树模型的木马检测方法。该方法包括：通过对木马程序进行静态特征分析，获取操作码OPCode序列，从所述操作码OPCode序列中提取木马特征OPCode短序列；通过对木马程序进行动态特征分析，获取API调用序列，从所述API调用序列中提取木马特征API短序列；根据所述OPCode短序列和API短序列构建原始拓展攻击树，并将所述原始拓展攻击树的节点的权重参数初始化，作为第一个攻击树基本学习器；动态更新所述权重参数得到若干个攻击树基本学习器，通过集成学习构建强学习器，进行木马检测。

技术领域

本发明涉及一种基于拓展攻击树模型的木马检测方法，属于网络安全领域。

背景技术

目前木马检测技术主要包括行为分析技术、虚拟机技术、特征码扫描技术和实时监控技术等。其中，所述行为分析技术是指通过分析恶意木马程序，获取其行为特征，或者监视其执行程序时的行为特征，根据特征的可疑性，判断是否为恶意程序；所述虚拟机技术是指构造一个完全隔离的、虚拟的运行环境，让恶意木马程序在这个虚拟的环境中运行，并且记录其运行特征，最后根据其特征判断是否为木马；所述特征码扫描技术是当前应用最为广泛的木马检测技术之一，主要是通过收集大量木马样本，提取其特征码建立木马特征码库，在进行木马检测时，将待检测的未知文件同事先已建立好的木马特征码进行匹配，从而判断是否为木马。所述实时监控技术主要通过监控木马的服务器端和控制端之间的通信，防止两者之间进行信息交流以泄露秘密信息。通过监控这类技术的典型应用有：入侵检测、入侵保护和防火墙等。

为了解决网络安全问题，众多的学者提出了一系列新的木马检测技术，并且将攻击树模型与木马检测技术二者结合起来，诞生了基于攻击树模型的木马检测技术。BruceSchneier在1999年提出了攻击树的概念,攻击树模型起初用来描述系统安全，用于系统安全评估，可以对系统的安全性进行较为精确的计算。后来，攻击树被国内外广大的学术研究者进行了深入的研究，其应用范围得到了很大的拓展。比如：攻击树可用于事件匹配的可行度的计算；攻击树可用于网格系统的生存性分析等等。南京大学的杨彦等人于2007年提出了一种基于攻击树的木马检测方法,该论文中重新定义了一种新的攻击树模型，即拓展攻击树模型。基本思想为：从大量木马可执行性文件中提取API特征序列，并且建立原始拓展攻击树，以此作为木马特征匹配库，在进行木马检测时，将未知文件与原始拓展攻击树做匹配，计算出该未知文件的静态危险指数，从而判断是否为木马。但是静态危险指数的定义和计算方式过于简单，单个的API特征不足以完全描述木马的特征，这些不足都会影响检测的准确性。牛冰茹等人提出了一种基于API短序列匹配的攻击树的木马检测方法，提高了匹配效率，去除了单个API匹配的偶然性。但是固定人为设置的节点的权重将会影响最终的检测效果

自从Bruce Schneier首次提出了攻击树模型之后，学术界一直很重视该模型，并且一直不断被扩充，广泛的应用在各个领域。南京大学的杨彦等人在2007年对传统攻击树做了改进，重新定义了攻击树的结构，提出了拓展攻击树模型，并且成功应用在木马检测上。拓展攻击树模型基于木马常用的危险API调用序列来进行木马检测，通过搜集大量API序列样本，建立原始拓展攻击树(相当于特征库),随后与未知文件的API序列做匹配，根据匹配结果判断是否为恶意木马文件。目前的基于攻击树的木马检测技术在实际应用中存在着特征表达不足、漏报率和误报率高、攻击树节点权重设置不合理等问题。

发明内容

本发明针对现有技术中特征表达不足、漏报率和误报率高、攻击树节点权重设置不合理等问题，提出一种基于拓展攻击树模型的木马检测方法。

本发明通过以下技术方案实现：

一种基于拓展攻击树模型的木马检测方法，包括：

通过对木马程序进行静态特征分析，获取操作码OPCode序列，从所述操作码OPCode序列中提取木马特征OPCode短序列；