木马基于动态博弈的木马检测策略研究

木马检测  时间:2021-01-09  阅读:()

基于动态博弈的木马检测策略研究

摘要通过分析计算机木马检测系统木马检测的特点提出了基于不完全信息动态博弃理论的检测策略选择方法。

关键词木马检测策略动态博弈

中图分类号 TM925. 07文献标识码A文章编号 1009-914X(2015)05-0282-01

1引言

近年来随着网络应用复杂度的不断提高 网络攻击方法层出不穷。 各种网络攻击方法中木马攻击是最具危险的手段之一。一旦计算机系统被种植木马就将长期潜伏对系统的保密性、可用性造成致命伤害。 本文提出了一种在新型木马检测系统屮基于不完全信息博弈理论的计算机木马检测策略选择方法为解决准确检测木马问题提供了新的思路。

2计算机木马检测系统构成

本文成果应用的计算机木马检测系统由主机信息检测模块、 网络信息检测模块和智能决策模块三个模块组成。

主机信息检测模块对主机的文件、进程、 网络连接、加载文件等信息结合口名单检测、端口关联等检测方法按照检测策略进行检测。 网络信息检测模块基于网络协议的分析对宿主主机发出的数据包进行层层剥离准确获取数

据包信息 同时根据各种信息特征进行统计从中发掘可疑网络流量信息。智能决策模块将网络和主机获取的数据根据攻击特征进行逐项分析然后对分项结果关联形成检测结论最终显示给用户。

3木马检测与反检测博弈行为分析

3.1木马反检测的一般方法及分析

木马必须的功能包括隐蔽启动、 网络外联。木马反检测方法大体有隐藏进程、隐藏模块、隐藏网络连接、隐藏文件、隐藏服务、隐藏启动项、 穿透防火墙。

3.2木马检测的博弃行为

在木马检测过程中 自始至终存在着对抗双方检测与反检测的博弈。 木马检测系统耍制定应对不同等级木马的检测策略。从检测到的可疑程序中将这些正常程序甄别出是系统的重要工作。在计算机被种植木马的环境下检测工作是一个双方不完全信息动态博弈的过程检测系统必须逐步寻找最优策略 以达到检出目的。

3.3不完全信息动态博弃

根据随机博弈的思想检测系统的每一个部分检测的结果概括成一种“状态”。双方在该部分的收益取决于各自采用的策略。通常一个两方随机博弈用如下七元组描述S,,, Q,,,B ,其中

一般的木马检测博弈过程如下在某个检测模块工作的时刻t,博弈处于状态eSo,木马从反检测策略集中选择策略 系统从检测策略集中选择策略然

后木马得到一个收益二,   系统得到收益二     然后博弈进入第二个状态WS。

根据不完全信息动态博弈理论 当期收益不仅取决于当前状态和这种状态下木马与检测系统选择的策略还取决于双方针对对方类型所做的概率分布判断。根据随机博弈理论木马的收益应该为二(  )假设此时木马对不会被检测岀的概率判断为U,根据不完全信息博弈理论,其收益为二(   P),同理假设此时检测系统对木马是否判断出被检测出的概率判断为入此状态下其收益为二(,,,入)。

4基于动态博弈的木马检测策略选择

木马检测环境下针对一个特定的状态策略选择过程为

(1) 首先确定检测系统和木马的策略集

(2) 当前状态下确定针对检测系统不同的策略木马对被检出的概率u分布

(3) 根据木马实现技术水平的高低确定木马类型然后检测系统确定木马类型的概率分布v,在此基础上根据木马在当前状态下采取不同的策略下确定木马判断出被检出的概率分布入

(4) 确定木马的收益函数。为了长吋间牢固控制主机(I),木马需具备反检测手段(T),由此确定木马的线性收益函数为 =(I-T) (1-u)

(1)

(5) 确定检测系统的收益函数。检测系统的收益函数与木马反检测水平(T),检测系统获取的信息()木马判断检测系统会采取的检测方式信息()相关由此确定检测系统的线性收益函数为二(YI-T-) (1-Y) (2)

假设检测系统对木马类型的判断概率是则对n类木马系统在该状态下的收益为:

6计算纳什均衡解确定木马检测策略。要达到纳什均衡解必须满足两个条件检测系统采取的策略要实现自己的收益最人化要使木马的收益尽可能高。

成立的策略'为其最优策略其中表示确定检测系统所有策略下的最大收益 ’为选择该策略下的木马的判断概率。

对检测系统而言使得条件

成立的策略'为其最优策略其中'表示系统在木马自防护策略下的最大收益 ’为选择该策略下的系统的检出判断概率。

5示例与仿真

以主机信息检测部分为例使用简化策略进行仿真分析。

1 确定双方策略集

在主机信息检测状态下检测系统的策略集。

2 确定木马对检测系统策略类型评估的概率口分布

根据木马反检测能力的高低分为三类高级木马 中级木马和初级木马根据经验木马对检测系统策略评估正确的概率u分布如表1 。

4确定木马在当前状态下的收益

根据经验确定控制主机I值反检测T值表。

6计算纳什均衡解

木马的最优策略是根据式3及表3,检测系统的最优策略是。

6结论

木马检测策略是木马检测系统的关键之一。本文提出了一种基于不完全信息动态博弈的木马检测策略选择的方法该方法基于对抗的动态性及对抗双方信息不完全的特点把信息获取和不完全信息动态博弈有机结合示例与仿真初步验证了模型的有效性。

参考文献

[1] 闫怀志胡昌振谭惠民。 网络攻防对抗策略选择模糊矩阵博弈方法。武汉大学学报(理学版) 2004,50(S1), 103-106.

[2]Kong-wei Lyol,Jcannotto M・Wing2.Game Strategics In Network S ecurity.

[3] Drew Fudenberg,Jean Tirole.博弈论•北京 中国人民大学出版社.

DiyVM:香港VPS五折月付50元起,2核/2G内存/50G硬盘/2M带宽/CN2线路

diyvm怎么样?diyvm这是一家低调国人VPS主机商,成立于2009年,提供的产品包括VPS主机和独立服务器租用等,数据中心包括香港沙田、美国洛杉矶、日本大阪等,VPS主机基于XEN架构,均为国内直连线路,主机支持异地备份与自定义镜像,可提供内网IP。最近,DiyVM商家对香港机房VPS提供5折优惠码,最低2GB内存起优惠后仅需50元/月。点击进入:diyvm官方网站地址DiyVM香港机房CN...

1C2G5M轻量服务器48元/年,2C4G8M三年仅198元,COM域名首年1元起

腾讯云双十一活动已于今天正式开启了,多重优惠享不停,首购服务器低至0.4折,比如1C2G5M轻量应用服务器仅48元/年起,2C4G8M也仅70元/年起;个人及企业用户还可以一键领取3500-7000元满减券,用于支付新购、续费、升级等各项账单;企业用户还可以以首年1年的价格注册.COM域名。活动页面:https://cloud.tencent.com/act/double11我们分享的信息仍然以秒...

CloudCone月付$48,MC机房可小时付费

CloudCone商家在前面的文章中也有多次介绍,他们家的VPS主机还是蛮有特点的,和我们熟悉的DO、Linode、VuLTR商家很相似可以采用小时时间计费,如果我们不满意且不需要可以删除机器,这样就不扣费,如果希望用的时候再开通。唯独比较吐槽的就是他们家的产品太过于单一,一来是只有云服务器,而且是机房就唯一的MC机房。CloudCone 这次四周年促销活动期间,商家有新增独立服务器业务。同样的C...

木马检测为你推荐
域名查询域名信息查询网站虚拟主机购买够买虚拟主机在那里的比较好介绍一个域名注册查询如何查域名注册信息中国域名注册中国十大域名注册商域名服务域名系统主要是什么?域名购买域名注册和购买是一个意思吗?个人虚拟主机个人商城要选多大的虚拟主机?香港虚拟空间最稳定香港虚拟主机空间在哪里?免费网站空间那里有免费网站空间asp网站空间说ASP空间是做网站的空间是啥意思?
免备案虚拟主机 BWH 特价空间 牛人与腾讯客服对话 元旦促销 idc资讯 hktv 东莞服务器 空间首页登陆 浙江服务器 金主 域名和主机 广州服务器托管 香港ip windowsserver2008 e-mail 认证机构 服务器是什么意思 alexa搜 带宽测速 更多