基于动态模拟的多态Shellcode建模与网络层检测  

作　　者：王兰佳[1] 段海新[2] 李星[1] 

机构地区：[1]清华大学电子工程系,北京100084 [2]清华大学信息网络工程研究中心,北京100084

出　　处：《中国科学（E辑）》2008年第10期1760-1773,共14页Science in China(Series E)

摘　　要：实践证明,通过模拟的方法对多态Shellcode进行检测是行之有效的.然而,现有的基于模拟的方法在性能和抗攻击性上仍有不足.提出了一种经过改进的基于模拟的检测方法,该方法包括一个基于自动机的多态Shellcode动态行为模型,以及基于该模型设计的具有高准确性的检测算法.该算法同时还采用了多种优化技术,能够显著提高检测系统的运行性能,以及应对规避检测型Shellcode的能力.通过一个原型系统实现了上述方法,且使用了大量真实网络数据,由多态引擎生成的多态Shellcode样本,以及手工构造的规避型Shellcode,实验验证了该算法的有效性和先进性能.

关 键 词：多态Shellcode 入侵检测 CPU模拟 

分 类 号：TP393.08[自动化与计算机技术—计算机应用技术]