基于频繁子树挖掘算法的网页木马检测技术  

Detection of drive-by downloads based on the frequent embedded subtree pattern-mining algorithm

作　　者：韩心慧[1,2] 龚晓锐[1,2] 诸葛建伟[3] 邹磊[1] 邹维[1,2] 

机构地区：[1]北京大学计算机科学技术研究所,北京100871 [2]北京大学互联网安全技术北京市重点实验室,北京100871 [3]清华大学信息网络工程研究中心,北京100084

出　　处：《清华大学学报（自然科学版）》2011年第10期1312-1317,共6页Journal of Tsinghua University(Science and Technology)

基　　金：国家发展和改革委员会2009年信息安全专项(发改高技[2009]1717号);国家自然科学基金资助项目(61003217);高等学校博士学科点专项科研基金资助项目(200800011019)

摘　　要：针对目前互联网安全的主要威胁之一网页木马,基于网页木马的树状链接结构特征,引入频繁子树挖掘算法,对前期积累的4万多个恶意网页木马场景进行子树模式挖掘,提取了35个网页木马场景共同子树结构特征,利用这些特征在网页木马动态分析过程中辅助检测。实验表明:在加入基于子树特征的检测方法判定的网页木马中,动态检测方法有近20%的漏报。因此,基于子树特征的检测方法有效地提高了动态检测的检测能力和效率,同时挖掘出的典型子树模式提供了网页木马分类和溯源的依据。A frequent embedded subtree pattern-mining algorithm was developed based on observations of the URL link tree structure of drive-by-download attack scenarios to extract typical frequent embedded subtree patterns from a large library of scenarios collected in the wild.35 extracted patterns were used to change a subtree matching algorithm into a behavior-based dynamic detection method for drive-by-downloads.Tests show that the purely dynamic detection method missed about 20% of the drive-by-downloads identified using the subtree matching algorithm based on the extracted patterns.Therefore,the subtree matching algorithm partially solves the problem of missed drive-by-downloads.These common subtree patterns provide a way to classify and trace the sources of drive-by-download attacks.

关 键 词：网页木马 频繁子树 动态分析 数据挖掘 

分 类 号：TP393.08[自动化与计算机技术—计算机应用技术]