基于HTTP会话过程跟踪的网页挂马攻击检测方法  

Detection of Drive-By Download Attacks with HTTP Session Tracking of Web Pages

作　　者：王涛[1] 余顺争[2] 谢逸[2] 

机构地区：[1]广东工业大学自动化学院,广州510006 [2]中山大学信息科学技术学院,广州510006

出　　处：《计算机研究与发展》2012年第S2期46-54,共9页Journal of Computer Research and Development

基　　金：国家"八六三"高技术研究发展计划基金项目(2007AA01Z449);国家自然科学基金项目(60970146);广东省高校优秀青年创新人才培养计划资助项目(LYM11057);广东省自然科学基金博士启动项目(S2012040006666)

摘　　要：目前对网页挂马攻击的检测手段主要有网页代码特征匹配与高交互虚拟蜜罐技术,前者难以对抗代码加密与混淆变形技术,后者资源消耗较大难以在客户端直接部署.提出一种新型的基于HTTP会话过程跟踪的网页挂马攻击检测方法.首先跟踪用户访问正常网页与挂马网页的HTTP会话过程,并分析比较两者统计特征,包括会话链接树特征与所引用域名的特征等.进一步,基于会话过程统计特征及采用有监督的机器学习技术,建立了能有效识别挂马网页会话过程的分类模型.实验证明,该模型能够达到91.7%的网页挂马攻击检测率以及0.1%误检率.目前对网页挂马攻击的检测手段主要有网页代码特征匹配与高交互虚拟蜜罐技术,前者难以对抗代码加密与混淆变形技术,后者资源消耗较大难以在客户端直接部署.提出一种新型的基于HTTP会话过程跟踪的网页挂马攻击检测方法.首先跟踪用户访问正常网页与挂马网页的HTTP会话过程,并分析比较两者统计特征,包括会话链接树特征与所引用域名的特征等.进一步,基于会话过程统计特征及采用有监督的机器学习技术,建立了能有效识别挂马网页会话过程的分类模型.实验证明,该模型能够达到91.7%的网页挂马攻击检测率以及0.1%误检率.

关 键 词：网页挂马攻击 挂马网页 HTTP会话跟踪 机器学习 分类 

分 类 号：TP3[自动化与计算机技术—计算机科学与技术]