第七章_惡意代碼分析與防治(計(jì)算機(jī)網(wǎng)絡(luò)安全教程)(文件)
【正文】 成復(fù)制傳播流程，而包含輔助功能模塊的蠕蟲(chóng)程序則具有更強(qiáng)的生存能力和破壞能力,1. 主體功能模塊,主體功能模塊由四個(gè)模塊構(gòu)成：①信息搜集模塊。該模塊可以采用各種形式生成各種形態(tài)的蠕蟲(chóng)副本，在不同主機(jī)間完成蠕蟲(chóng)副本傳遞。該模塊用于摧毀或破壞被感染主機(jī)，破壞網(wǎng)絡(luò)正常運(yùn)行，在被感染主機(jī)上留下后門(mén)等；③信息通信模塊。,7.5 惡意代碼防范方法,目前，惡意代碼防范方法主要分為兩方面：基于主機(jī)的惡意代碼防范方法和基于網(wǎng)絡(luò)的惡意代碼防范方法。用戶(hù)通過(guò)更新特征文件更新掃描軟件，查找最新的惡意代碼版本。未被惡意代碼感染的系統(tǒng)首先會(huì)生成檢測(cè)數(shù)據(jù)，然后周期性地使用校驗(yàn)和法檢測(cè)文件的改變情況。將文件正常狀態(tài)的校驗(yàn)和寫(xiě)入文件本身中，每當(dāng)應(yīng)用程序啟動(dòng)時(shí)，比較現(xiàn)行校驗(yàn)和與原始校驗(yàn)和，實(shí)現(xiàn)應(yīng)用程序的自我檢測(cè)功能。即使發(fā)現(xiàn)惡意代碼造成了文件的改變，校驗(yàn)和法也無(wú)法將惡意代碼消除，也不能判斷究竟被那種惡意代碼感染。同樣，這些程序的運(yùn)行也不能影響操作系統(tǒng)的正常運(yùn)行，操作系統(tǒng)與驅(qū)動(dòng)程序也存活在自己的“沙箱”之中。沒(méi)有足夠的權(quán)限，惡意代碼不可能實(shí)現(xiàn)其預(yù)定的惡意目標(biāo)，或者僅能夠?qū)崿F(xiàn)其部分惡意目標(biāo)。,1. 基于GrIDS的惡意代碼檢測(cè),著名的GrIDS 主要針對(duì)大規(guī)模網(wǎng)絡(luò)攻擊和自動(dòng)化入侵設(shè)計(jì)的，它收集計(jì)算機(jī)和網(wǎng)絡(luò)活動(dòng)的數(shù)據(jù)以及它們之間的連接，在預(yù)先定義的模式庫(kù)的驅(qū)動(dòng)下，將這些數(shù)據(jù)構(gòu)建成網(wǎng)絡(luò)活動(dòng)行為來(lái)表征網(wǎng)絡(luò)活動(dòng)結(jié)構(gòu)上的因果關(guān)系。 DED負(fù)責(zé)捕獲流經(jīng)網(wǎng)絡(luò)出入口的所有數(shù)據(jù)包，根據(jù)CMS提供的特征串或規(guī)則表達(dá)式對(duì)數(shù)據(jù)包進(jìn)行掃描匹配并把結(jié)果傳遞給RTP；CMS負(fù)責(zé)從后臺(tái)的MYSQL數(shù)據(jù)庫(kù)中讀取已經(jīng)存在的惡意代碼特征，編譯綜合成DED設(shè)備可以利用特征串或規(guī)則表達(dá)式；RTP根據(jù)匹配結(jié)果決定DED采取何種操作。Spitzner首次運(yùn)用HoneyPot防御惡意代碼攻擊。CCDC 能夠?qū)崿F(xiàn)對(duì)大規(guī)模惡意代碼入侵的預(yù)警、防御和阻斷。作為研究的重點(diǎn)，介紹了蠕蟲(chóng)的定義以及流行蠕蟲(chóng)的結(jié)構(gòu)，最后指出了惡意代碼的防范方法。 A. 利用操作系統(tǒng)脆弱性 B. 利用系統(tǒng)后門(mén) C. 利用郵件系統(tǒng)的脆弱性 D. 利用緩沖區(qū)溢出的脆弱性 4. 下面是惡意代碼生存技術(shù)是___________。 3. 早期惡意代碼的主要形式是___________。,本章習(xí)題,三、簡(jiǎn)答題 1. 簡(jiǎn)述研究惡意代碼的必要性。 6. 簡(jiǎn)述惡意代碼如何實(shí)現(xiàn)攻擊技術(shù)。,。 8. 簡(jiǎn)述蠕蟲(chóng)的功能結(jié)構(gòu)。 3. 惡意代碼是如何定義，可以分成哪幾類(lèi)？ 4. 說(shuō)明惡意代碼的作用機(jī)制的6個(gè)方面，并圖示惡意代碼攻擊模型。網(wǎng)絡(luò)隱藏主要包括___________和___________。 A. 進(jìn)程注入技術(shù) B. 超級(jí)管理技術(shù) C. 端口反向連接技術(shù) D. 自動(dòng)生產(chǎn)技術(shù),本章習(xí)題,二、填空題 1. 惡意代碼主要包括計(jì)算機(jī)病毒（Virus）、___________、木馬程序（Trojan Horse）、后門(mén)程序（Backdoor）、___________等等。 A. 惡意代碼 B. 計(jì)算機(jī)病毒 C. 蠕蟲(chóng) D. 后門(mén) 2. 2003 年，SLammer 蠕蟲(chóng)在10 分鐘內(nèi)導(dǎo)致___________互聯(lián)網(wǎng)脆弱主機(jī)受到感染。,本章總結(jié),本章介紹了研究惡意代碼的必要性，惡意代碼的定義以及分類(lèi)。,4. 基于CCDC的檢測(cè)防御,由于主動(dòng)式傳播惡意代碼具有生物病毒特征，美國(guó)安全專(zhuān)家提議建立CCDC（The Cyber Centers for Disease Control）來(lái)對(duì)抗惡意代碼攻擊。,3. 基于HoneyPot的檢測(cè)防御,早期HoneyPot主要用于防范網(wǎng)絡(luò)黑客攻擊。,2. 基于PLD硬件的檢測(cè)防御,華盛頓大學(xué)應(yīng)用研究室的John W. Lockwood、James Moscola1和MatthewKulig等提出了一種采用可編程邏輯設(shè)備（Programmable Logic Devices，PLDs)對(duì)抗惡意代碼的防范系統(tǒng)。基于網(wǎng)絡(luò)的惡意代碼防范方法包括：惡意代碼檢測(cè)防御和惡意代碼預(yù)警。,4. 安全操作系統(tǒng)對(duì)惡意代碼的防范,惡意代碼成功入侵的重要一環(huán)是，獲得系統(tǒng)的控制權(quán)，使操作系統(tǒng)為它分配系統(tǒng)資源。,3. 沙箱技術(shù),沙箱技術(shù)指根據(jù)系統(tǒng)中每一個(gè)可執(zhí)行程序的訪(fǎng)問(wèn)資源，以及系統(tǒng)賦予的權(quán)限建立應(yīng)用程序的“沙箱”，限制惡意代碼的運(yùn)行。每當(dāng)應(yīng)用程序開(kāi)始運(yùn)行時(shí)，自動(dòng)比較檢查應(yīng)用程序內(nèi)部或別的文件中預(yù)留保存的校驗(yàn)和。對(duì)檢測(cè)的對(duì)象文件計(jì)算其正常狀態(tài)的校驗(yàn)和并將其寫(xiě)入被查文件中或檢測(cè)工具中，而后進(jìn)行比較。,2. 校驗(yàn)和,校驗(yàn)和是一種保護(hù)信息資源完整性的控制技術(shù)，例如Hash 值和循環(huán)冗余碼等。,1. 基于特征的掃描技術(shù),基于主機(jī)的惡意代碼防范方法是目前檢測(cè)惡意代碼最常用的技術(shù)，主要源于模式匹配的思想。控制模塊的功能是調(diào)整蠕蟲(chóng)行為，控制被感染主機(jī)，執(zhí)行蠕蟲(chóng)編寫(xiě)者下達(dá)的指令；⑤自動(dòng)升級(jí)模塊。,2. 輔助功能模塊,輔助功能模塊是對(duì)除主體功能模塊外的其他模塊的歸納或預(yù)測(cè)，主要由五個(gè)功能模塊構(gòu)成：①實(shí)體隱藏模塊。完成對(duì)特定主機(jī)的脆弱性檢測(cè)，決定采用何種的攻擊滲透方式；③攻擊滲透模塊。 蠕蟲(chóng)具有主動(dòng)攻擊、行蹤隱蔽、利用漏洞、造成網(wǎng)絡(luò)擁塞、降低系統(tǒng)性能、產(chǎn)生安全隱患、反復(fù)性和破壞性等特征，網(wǎng)絡(luò)蠕蟲(chóng)是無(wú)須計(jì)算機(jī)使用者干預(yù)即可運(yùn)行的獨(dú)立程序，它通過(guò)不停地獲得網(wǎng)絡(luò)中存在漏洞的計(jì)算機(jī)上的部分或全部控制權(quán)來(lái)進(jìn)行傳播。時(shí)間隱蔽通道是一個(gè)進(jìn)程對(duì)系統(tǒng)性能產(chǎn)生的影響可以被另外一個(gè)進(jìn)程觀(guān)察到并且可以利用一個(gè)時(shí)間基準(zhǔn)進(jìn)行測(cè)量，這樣形成的信息傳遞通道稱(chēng)為時(shí)間隱蔽通道。對(duì)傳輸信道的隱蔽主要采用隱蔽通道技術(shù)。在網(wǎng)絡(luò)中，普遍采用了防火墻、入侵檢測(cè)和漏洞掃描等安全措施。 （3）網(wǎng)絡(luò)連接隱蔽。本地系統(tǒng)管理人員通常使用“查看進(jìn)程列表”，“查看目錄”，“查看內(nèi)核模塊”，“查看系統(tǒng)網(wǎng)絡(luò)連
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1