木马基于动态博弈的木马检测策略研究

木马检测  时间:2021-01-09  阅读:()

基于动态博弈的木马检测策略研究

摘要通过分析计算机木马检测系统木马检测的特点提出了基于不完全信息动态博弃理论的检测策略选择方法。

关键词木马检测策略动态博弈

中图分类号 TM925. 07文献标识码A文章编号 1009-914X(2015)05-0282-01

1引言

近年来随着网络应用复杂度的不断提高 网络攻击方法层出不穷。 各种网络攻击方法中木马攻击是最具危险的手段之一。一旦计算机系统被种植木马就将长期潜伏对系统的保密性、可用性造成致命伤害。 本文提出了一种在新型木马检测系统屮基于不完全信息博弈理论的计算机木马检测策略选择方法为解决准确检测木马问题提供了新的思路。

2计算机木马检测系统构成

本文成果应用的计算机木马检测系统由主机信息检测模块、 网络信息检测模块和智能决策模块三个模块组成。

主机信息检测模块对主机的文件、进程、 网络连接、加载文件等信息结合口名单检测、端口关联等检测方法按照检测策略进行检测。 网络信息检测模块基于网络协议的分析对宿主主机发出的数据包进行层层剥离准确获取数

据包信息 同时根据各种信息特征进行统计从中发掘可疑网络流量信息。智能决策模块将网络和主机获取的数据根据攻击特征进行逐项分析然后对分项结果关联形成检测结论最终显示给用户。

3木马检测与反检测博弈行为分析

3.1木马反检测的一般方法及分析

木马必须的功能包括隐蔽启动、 网络外联。木马反检测方法大体有隐藏进程、隐藏模块、隐藏网络连接、隐藏文件、隐藏服务、隐藏启动项、 穿透防火墙。

3.2木马检测的博弃行为

在木马检测过程中 自始至终存在着对抗双方检测与反检测的博弈。 木马检测系统耍制定应对不同等级木马的检测策略。从检测到的可疑程序中将这些正常程序甄别出是系统的重要工作。在计算机被种植木马的环境下检测工作是一个双方不完全信息动态博弈的过程检测系统必须逐步寻找最优策略 以达到检出目的。

3.3不完全信息动态博弃

根据随机博弈的思想检测系统的每一个部分检测的结果概括成一种“状态”。双方在该部分的收益取决于各自采用的策略。通常一个两方随机博弈用如下七元组描述S,,, Q,,,B ,其中

一般的木马检测博弈过程如下在某个检测模块工作的时刻t,博弈处于状态eSo,木马从反检测策略集中选择策略 系统从检测策略集中选择策略然

后木马得到一个收益二,   系统得到收益二     然后博弈进入第二个状态WS。

根据不完全信息动态博弈理论 当期收益不仅取决于当前状态和这种状态下木马与检测系统选择的策略还取决于双方针对对方类型所做的概率分布判断。根据随机博弈理论木马的收益应该为二(  )假设此时木马对不会被检测岀的概率判断为U,根据不完全信息博弈理论,其收益为二(   P),同理假设此时检测系统对木马是否判断出被检测出的概率判断为入此状态下其收益为二(,,,入)。

4基于动态博弈的木马检测策略选择

木马检测环境下针对一个特定的状态策略选择过程为

(1) 首先确定检测系统和木马的策略集

(2) 当前状态下确定针对检测系统不同的策略木马对被检出的概率u分布

(3) 根据木马实现技术水平的高低确定木马类型然后检测系统确定木马类型的概率分布v,在此基础上根据木马在当前状态下采取不同的策略下确定木马判断出被检出的概率分布入

(4) 确定木马的收益函数。为了长吋间牢固控制主机(I),木马需具备反检测手段(T),由此确定木马的线性收益函数为 =(I-T) (1-u)

(1)

(5) 确定检测系统的收益函数。检测系统的收益函数与木马反检测水平(T),检测系统获取的信息()木马判断检测系统会采取的检测方式信息()相关由此确定检测系统的线性收益函数为二(YI-T-) (1-Y) (2)

假设检测系统对木马类型的判断概率是则对n类木马系统在该状态下的收益为:

6计算纳什均衡解确定木马检测策略。要达到纳什均衡解必须满足两个条件检测系统采取的策略要实现自己的收益最人化要使木马的收益尽可能高。

成立的策略'为其最优策略其中表示确定检测系统所有策略下的最大收益 ’为选择该策略下的木马的判断概率。

对检测系统而言使得条件

成立的策略'为其最优策略其中'表示系统在木马自防护策略下的最大收益 ’为选择该策略下的系统的检出判断概率。

5示例与仿真

以主机信息检测部分为例使用简化策略进行仿真分析。

1 确定双方策略集

在主机信息检测状态下检测系统的策略集。

2 确定木马对检测系统策略类型评估的概率口分布

根据木马反检测能力的高低分为三类高级木马 中级木马和初级木马根据经验木马对检测系统策略评估正确的概率u分布如表1 。

4确定木马在当前状态下的收益

根据经验确定控制主机I值反检测T值表。

6计算纳什均衡解

木马的最优策略是根据式3及表3,检测系统的最优策略是。

6结论

木马检测策略是木马检测系统的关键之一。本文提出了一种基于不完全信息动态博弈的木马检测策略选择的方法该方法基于对抗的动态性及对抗双方信息不完全的特点把信息获取和不完全信息动态博弈有机结合示例与仿真初步验证了模型的有效性。

参考文献

[1] 闫怀志胡昌振谭惠民。 网络攻防对抗策略选择模糊矩阵博弈方法。武汉大学学报(理学版) 2004,50(S1), 103-106.

[2]Kong-wei Lyol,Jcannotto M・Wing2.Game Strategics In Network S ecurity.

[3] Drew Fudenberg,Jean Tirole.博弈论•北京 中国人民大学出版社.

RAKsmart美国VPS上市,活动期间5折抢购仅$30,$1.99/月

RAKsmart机房将于7月1日~7月31日推出“年中大促”活动,多重惊喜供您选择;爆款I3-2120仅30美金秒杀、V4新品上市,活动期间5折抢购、爆款产品持续热卖、洛杉矶+硅谷+香港+日本站群恢复销售、G口不限流量产品超低价热卖。美国VPS、日本VPS及香港VPS享全场7折优惠;爆款VPS $ 1.99/月限量秒杀,10台/天,售完即止, VPS 7折优惠码:VPS-TP-disRAKsmar...

桔子数据58元/月 ,Cera美西云服务器 2核4G 50G数据盘 500M带宽 1000G流量

桔子数据(徐州铭联信息科技有限公司)成立于2020年,是国内领先的互联网业务平台服务提供商。公司专注为用户提供低价高性能云计算产品,致力于云计算应用的易用性开发,并引导云计算在国内普及。目前公司研发以及运营云服务基础设施服务平台(IaaS),面向全球客户提供基于云计算的IT解决方案与客户服务,拥有丰富的国内BGP、双线高防、香港等优质的IDC资源。 公司一直秉承”以人为本、客户为尊、永...

小渣云(36元/月)美国VPS洛杉矶 8核 8G

小渣云 做那个你想都不敢想的套餐 你现在也许不知道小渣云 不过未来你将被小渣云的产品所吸引小渣云 专注于一个套餐的商家 把性价比 稳定性 以及价格做到极致的商家,也许你不相信36元在别人家1核1G都买不到的价格在小渣云却可以买到 8核8G 高配云服务器,并且在安全性 稳定性 都是极高的标准。小渣云 目前使用的是美国超级稳定的ceranetworks机房 数据安全上 每5天备份一次数据倒异地 支持一...

木马检测为你推荐
虚拟主机服务器虚拟主机和站点服务器什么区别asp主机sulzer主机类型有哪些免费国外空间哪里的国外免费空间好?域名购买在网上购买域名 会受骗吗免备案虚拟空间香港免备案虚拟主机空间怎么样网站空间购买不用备案的网站空间,哪里可以有这样的网站空间购买?网站空间商网站空间商怎么查询网站空间商网站空间商的选择??虚拟主机管理系统什么虚拟主机管理系统支持W和linux操作系统虚拟主机服务商现在市场上那家服务商的虚拟主机性价比最高?
vps是什么 vps安全设置 中国域名交易中心 fastdomain pw域名 最好看的qq空间 嘉洲服务器 中国电信测速网 最好的qq空间 vip域名 raid10 免费邮件服务器 空间购买 lick starry lamp怎么读 注册阿里云邮箱 大化网 汤博乐 时间服务器 更多