基于信息安全的計(jì)算機(jī)主動(dòng)防御反病毒技術(shù)研究

米蘭·黑娜亞提 艾克帕爾·艾合買提 涂偉滬

【 摘 要 】 論文根據(jù)新的信息安全理論研究成果，結(jié)合計(jì)算機(jī)反病毒主動(dòng)防御的實(shí)踐經(jīng)驗(yàn)，提出應(yīng)強(qiáng)化信息安全的主動(dòng)防御技術(shù)，此技術(shù)更好地彌補(bǔ)了傳統(tǒng)信息安全中殺毒軟件的技術(shù)弱點(diǎn)。主動(dòng)防御技術(shù)可以快速準(zhǔn)確有效阻止惡意程序執(zhí)行相關(guān)操作，可以將相關(guān)病毒全面封殺在攻擊的起步階段，從時(shí)間與技術(shù)兩個(gè)層面強(qiáng)化對病毒的阻止，有效地規(guī)避了信息安全中封殺病毒的滯后性，提升了信息安全的技術(shù)與執(zhí)行效率。

【 關(guān)鍵詞 】 信息安全；主動(dòng)防御；反病毒

【 中圖分類號 】 TP393 【 文獻(xiàn)標(biāo)識碼 】 A

【 Abstract 】 According to the latest research achievement of information security theory， and combined with the computer anti virus active defense experience， we should strengthen information security active defense technology research and practice， this technology is better for traditional antivirus software in the information security technical weakness， active defense can accurately and effectively prevent malicious program execution related operations， can be related to the virus cripple in the initial stage of attack， strengthen the virus to prevent from two aspects of time and technology， effectively circumvent the blocked virus lag information security， improve the technology and efficiency of information security， this paper provides basic reference for deepening the research related.

【 Keywords 】 information security； cctive defense； anti virus

1 引言

計(jì)算機(jī)安全理論界定義信息安全學(xué)科是一個(gè)跨學(xué)科、綜合性較強(qiáng)的通信學(xué)科，本文對數(shù)學(xué)、物理、計(jì)算機(jī)、通信等安全信息學(xué)科長期積累的知識和許多新的研究開發(fā)成果進(jìn)行自主創(chuàng)新研究，加強(qiáng)頂層設(shè)計(jì)，從而提出系統(tǒng)、集成和協(xié)作的解決方案。

安全協(xié)議的研究主要包括安全協(xié)議的安全分析方法、安全協(xié)議的設(shè)計(jì)和分析。目前，國內(nèi)外已經(jīng)提出了許多切實(shí)可行的協(xié)議，而代表的有電子商務(wù)協(xié)議、IPSec協(xié)議、TLS協(xié)議、簡單網(wǎng)絡(luò)管理協(xié)議、PGP協(xié)議、PEM協(xié)議S-HTTP、S/MIME協(xié)議。

電子商務(wù)協(xié)議、IPSec協(xié)議和TLS協(xié)議是理論與實(shí)務(wù)界當(dāng)前研究的一個(gè)熱點(diǎn)話題。根據(jù)相關(guān)計(jì)算機(jī)理論研究，網(wǎng)絡(luò)信息安全是信息安全的重要研究內(nèi)容之一，也是信息安全領(lǐng)域的一個(gè)研究熱點(diǎn)。

網(wǎng)絡(luò)信息安全解決方案是一個(gè)綜合性的問題，涉及到很多內(nèi)容，包括技術(shù)、產(chǎn)品和管理，目前國際上已經(jīng)有很多網(wǎng)絡(luò)信息安全解決方案和產(chǎn)品，但由于出口政策和自主性不能直接用于解決我國自身網(wǎng)絡(luò)問題，因此，中國的網(wǎng)絡(luò)信息安全只能借鑒這些先進(jìn)的技術(shù)和產(chǎn)品，才能解決問題。

2 實(shí)時(shí)反病毒技術(shù)的應(yīng)用研究

病毒防火墻實(shí)際上是從信息安全防火墻中擴(kuò)展出來的，是近年來的一個(gè)新概念，目的是系統(tǒng)實(shí)現(xiàn)實(shí)時(shí)監(jiān)控，系統(tǒng)數(shù)據(jù)的流入和流出可能包含病毒代碼過濾器。這恰恰體現(xiàn)了實(shí)時(shí)殺毒的概念本質(zhì)——解決了用戶的“未知”病毒。

與傳統(tǒng)的反病毒模型相比，病毒防火墻具有明顯的優(yōu)勢。

首先，其過濾的病毒具有很好的實(shí)時(shí)性，一旦病毒侵入系統(tǒng)或從系統(tǒng)中的其他資源的感染，它會(huì)自動(dòng)檢測，可以去掉，這樣可以最大可能地避免病毒的資源破壞。

其次，“病毒防火墻”可以有效地防止病毒從網(wǎng)絡(luò)到本地計(jì)算機(jī)系統(tǒng)。而這恰恰是傳統(tǒng)殺毒軟件無法實(shí)現(xiàn)的，因?yàn)閭鹘y(tǒng)殺毒軟件的智能化靜態(tài)清除病毒是在網(wǎng)絡(luò)上被感染的文件，用于實(shí)時(shí)通信的網(wǎng)絡(luò)卻不殺。

第三，“防火墻”雙向過濾功能卡本地系統(tǒng)不給網(wǎng)絡(luò)病毒傳播病毒。虛擬機(jī)是一個(gè)系統(tǒng)，它支持多個(gè)操作系統(tǒng)在一個(gè)單一的物理服務(wù)器上運(yùn)行，它可以提供更有效的底層硬件的使用。在虛擬機(jī)中，中央處理器芯片分為系統(tǒng)的另一部分，在“保護(hù)模式”環(huán)境下運(yùn)行的操作系統(tǒng)和應(yīng)用程序。

通過虛擬機(jī)仿真軟件，可以模擬計(jì)算機(jī)中的多個(gè)虛擬計(jì)算機(jī)，虛擬機(jī)完全像一個(gè)真實(shí)的計(jì)算機(jī)，可以工作，比如安裝操作系統(tǒng)、安裝應(yīng)用程序、訪問網(wǎng)絡(luò)資源等。雖然它只是一個(gè)在你的物理計(jì)算機(jī)上運(yùn)行的應(yīng)用程序，它是一個(gè)真正的計(jì)算機(jī)在虛擬機(jī)中運(yùn)行的應(yīng)用程序。因此，當(dāng)評估軟件在虛擬機(jī)中，系統(tǒng)可能會(huì)崩潰，但是，崩潰只是一個(gè)虛擬機(jī)操作系統(tǒng)，并不是一個(gè)物理的計(jì)算機(jī)操作系統(tǒng)，并使用虛擬機(jī)撤消功能，可以立即將虛擬機(jī)恢復(fù)到狀態(tài)之前的軟件安裝。

在反病毒領(lǐng)域，為什么需要使用虛擬機(jī)技術(shù)？這些病毒在目標(biāo)程序的干擾下會(huì)通過加密或變性的自我隱藏。只有這樣才能擺脫大部分殺毒軟件的功能識別，因?yàn)樗鼈冊陟o態(tài)特性上幾乎是完全不一樣的。通過對這些病毒的分析和研究，可以發(fā)現(xiàn)通過進(jìn)行虛擬來恢復(fù)加密的甚至變形病毒程序，這樣就可以恢復(fù)原始病毒的外觀，這樣就可以通過傳統(tǒng)的識別條件。

在互聯(lián)網(wǎng)的早期，病毒制造者的心態(tài)是由病毒的原始顯示轉(zhuǎn)化為病毒的利益。他們更愿意寫一些更強(qiáng)大、更廣泛的病毒傳播，因此木馬、后門、以及蠕蟲病毒已經(jīng)成為主流的病毒程序。病毒的存在從形態(tài)上看，病毒廠商更傾向于通過包裝方式識別反病毒軟件。

在互聯(lián)網(wǎng)時(shí)代，病毒制造業(yè)分工越來越細(xì)化，分工與合作促進(jìn)了互聯(lián)網(wǎng)的病毒。互聯(lián)網(wǎng)的病毒給反病毒產(chǎn)業(yè)帶來了巨大的壓力。病毒制造者傾向于使用一些代碼來實(shí)現(xiàn)病毒的大規(guī)模生產(chǎn)。

為了應(yīng)對這種病毒性的問題，目前國內(nèi)反病毒產(chǎn)業(yè)，都是以行為監(jiān)測分析為基礎(chǔ)的主體推動(dòng)此行為。但基于監(jiān)控的行為分析是一種自然的缺陷，這是所有反病毒廠商都無法避免的問題。

3 主動(dòng)防御反病毒技術(shù)研究

3.1 基于SSDT的病毒主動(dòng)防御技術(shù)應(yīng)用

本文中SSDT系統(tǒng)服務(wù)描述符表是一個(gè)將應(yīng)用層指令到系統(tǒng)內(nèi)核的通道。通過一個(gè)函數(shù)修改SSDT表地址，常用的Windows功能和過濾，API鉤子和一些重要的系統(tǒng)行為監(jiān)控、惡意程序不能運(yùn)行，按照正常的，為了實(shí)現(xiàn)主動(dòng)防御功能的。

鉤子的意圖是鉤子，是一個(gè)窗口消息處理機(jī)制的平臺，應(yīng)用程序可以設(shè)置上面的子程序來監(jiān)視某個(gè)消息的指定窗口，并監(jiān)控串口可以由其他進(jìn)程生成。當(dāng)消息到達(dá)目標(biāo)窗口處理函數(shù)處理前，勾機(jī)制允許應(yīng)用程序來保證處理窗口消息或特定事件。鉤子技術(shù)是一種用于改變應(yīng)用程序的結(jié)果的技術(shù)，微軟本身就是在窗口操作系統(tǒng)中使用的技術(shù)，如窗口兼容模式等。

3.2 基于行為分析的病毒主動(dòng)防御技術(shù)應(yīng)用

本文對目標(biāo)行為的研究可以觀察到，可以通過外部行為進(jìn)行量化的性能，也能對行為的具體和清晰的描述行為進(jìn)行有效的控制行為。

在信息安全領(lǐng)域，行為分析技術(shù)的原理是基于行為的程序功能，測試是否病毒，如果是異常行為，那么它可以被認(rèn)定為病毒。比如早期未知木馬判斷是很粗糙的，但效果是非常明顯的，它的核心思想是確定目錄系統(tǒng)是系統(tǒng)使用它自己的目錄，除了系統(tǒng)的任何其他程序不應(yīng)該使用這個(gè)目錄，如果有一個(gè)程序，使自己的副本，你會(huì)認(rèn)為該程序是一個(gè)木馬或病毒。傳統(tǒng)的防范技術(shù)使得大量的計(jì)算機(jī)用戶都面臨這樣一個(gè)問題：沒有反病毒軟件不能，用殺毒軟件是不多的效果。

這種情況是由幾個(gè)方面造成的。

第一，殺毒軟件保護(hù)是靜態(tài)的，傳統(tǒng)的被動(dòng)防御完全依賴于網(wǎng)絡(luò)維護(hù)人員的設(shè)備手動(dòng)配置來實(shí)現(xiàn)，因此它很難處理復(fù)雜的當(dāng)前網(wǎng)絡(luò)入侵事件。

第二，殺毒軟件的防護(hù)能力是被動(dòng)的，它采用的是防御技術(shù)只能被動(dòng)地接受每一次攻擊的入侵者，但不受入侵者的任何影響。主動(dòng)防御技術(shù)應(yīng)包括三個(gè)層次，即資源訪問規(guī)則控制、資源訪問掃描、程序活動(dòng)行為分析引擎。其中，行為分析引擎技術(shù)是最重要的。在資源訪問控制層，通過系統(tǒng)資源的規(guī)則控制，以防止病毒、木馬和其他惡意程序使用這些資源。在資源訪問層中，通過對一些資源的監(jiān)控，如文件、引導(dǎo)區(qū)、郵件、腳本訪問、內(nèi)容掃描等，分析了惡意代碼，傳統(tǒng)的殺毒軟件文件監(jiān)控、郵件監(jiān)控等都是此層。過程活動(dòng)行為決策層是從前兩層的過程動(dòng)作和特征信息的自動(dòng)采集，并對其進(jìn)行處理和判斷。

參考文獻(xiàn)

[1] 李丹，蘇鋒，滕曰.“信息安全概論”課程教學(xué)的改革與探索[J].價(jià)值工程，2015（34）.

[2] 董令超.以管理和教育的手段促進(jìn)信息的安全[J].科技信息，2014（14）

[3] 張煥國，杜瑞穎.武漢大學(xué)：信息安全人才培養(yǎng)現(xiàn)狀與問題[J].中國教育網(wǎng)絡(luò)，2014（09）.

作者簡介：

米蘭·黑娜亞提（1975-），女，哈薩克族，新疆阿勒泰人，研究生，講師；主要研究方向與關(guān)注領(lǐng)域：信息安全。

艾克帕爾·阿合買提（1982-），男，維吾爾族，新疆人，本科；主要研究方向和關(guān)注領(lǐng)域：電子信息工程。

涂偉滬（1972-），男，漢族，上海人，碩士，副教授；主要研究方向和關(guān)注領(lǐng)域：數(shù)據(jù)挖掘。