基于免疫理论的恶意代码检测与防御方法研究

As the information security primary threat, malcode has brought huge economic losses to users and cause serious damage to national security. In the face of the increasing number of malcode and the appearance of new attack technologies, how to identify malcode accurately and effectively especially the detection and defense of unknown malcode, is an important issue to be solved in the field of information security. Malcode prevention has a natural similarity to biological immune system. They all need to identify the foreign invasion from the system itself. The immune theory is applied to solve the problem of malcode, and the following work is to be carried out. (1) Based on the analysis of attack techniques of malcode, study of malcode feature extraction technology. Both the static and dynamic analysis methods are utilized to extract the features that can reflect the malicious behavior. (2) Study the operation mechanism of the immune system. Based on negative selection, clonal selection and other mainstream algorithms, a malcode immune model will be build, and the detection rate is improved through the clone variation and immune memorization. Using the three defense lines of the natural immune system and its principle, a computer malcode immune system are put forward. (3) According to the characteristics of the malcode network propagation, based on the immune Danger Theory and vaccine mechanism a malcode immune network will be build, expanding the single host immune system to computer network.

恶意代码作为信息安全首要威胁，给用户带来了巨大经济损失并严重危害国家安全。面对恶意代码数量不断攀升，新型攻击技术层出不穷，如何准确高效的识别恶意代码，尤其是对未知恶意代码的检测与防御，是信息安全领域亟待解决的课题。恶意代码防护与生物免疫系统具有天然的相似性，它们都需要准确地识别入侵到自身系统的外来物质。本课题将免疫理论应用于解决恶意代码问题，拟开展的工作如下：1、在对恶意代码的攻击技术深入分析的基础上，研究恶意代码的特征提取方法，综合利用静态分析和动态分析方法提取能够反映恶意行为的关键特征。2、研究免疫系统的运作机理，基于阴性选择、克隆选择等主流算法构建恶意代码免疫模型，通过克隆变异及免疫记忆提高恶意代码检测率。借鉴自然免疫系统的三大防线及其原理，提出计算机恶意代码免疫系统。3、针对恶意代码网络传播特点，基于免疫危险理论和疫苗机制构建恶意代码免疫网络，从单机免疫扩展到计算机网络免疫。

近些年，恶意代码数量不断攀升，加密勒索等新型攻击技术层出不穷，恶意代码的准确高效识别一直是网络安全领域的重要难题。面对新出现的未知恶意代码及各种病毒家族变种，传统的基于特征码匹配的方式存在检测率低延时大等问题。恶意代码防御与生物免疫系统具有天然的相似性，本课题将免疫理论用于恶意代码检测问题，按照课题的进度计划完成了主要研究工作，具体包括以下三个方面：（1）研究动态和静态分析技术，建立恶意代码特征表征体系，从多个维度对恶意代码的属性进行刻画；（2）研究基于多种免疫算法融合的计算机恶意代码免疫系统构建方法，基于阴性选择算法生成检测器，基于克隆选择算法对检测器进行优化；（3）研究基于危险理论和疫苗机制的恶意代码免疫网络，提出基于危险理论的网络安全态势感知算法。课题组收集了20余万个恶意代码样本，重点对勒索病毒进行了深入分析和研究，搭建了基于Cuckoo Sandbox的恶意代码分析环境，提取勒索病毒文件读写操作及CryptoAPI加密函数调用，提出基于V-detector阴性选择算法的勒索病毒检测方法，提出基于API序列比对的勒索病毒家族同源性分析算法，课题组承办了2017年国际反病毒大会“应对勒索软件威胁”论坛，课题负责人芦天亮发表了专题报告《技术勒索现状、趋势及对策研究》，基于上述研究成果课题组申请的“十三五”国家密码发展基金密码理论研究重点课题获得立项。为了提高免疫理论应用于恶意代码检测和防御的效果，课题组通过改进的双层检测器阴性选择算法达到提高病毒特征空间覆盖率的目的。针对恶意代码传播过程中的shellcode攻击检测问题，提出基于超椭球免疫理论检测方法，运用超椭球改变朝向、迁移中心和伸缩半轴等手段实现shellcode检测器的优化，生成更加优秀的抗体后代。面对手机恶意代码激增的问题，课题组对Android病毒开展研究，提取APK程序的静态权限特征及动态行为特征，采用IG、PSO等特征选择方法降低特征维数，挖掘有用的联合特征，并将免疫算法用于手机恶意代码的检测和防御。课题组已发表论文38篇，其中SCI论文3篇，EI检索论文9篇，出版学术专著2部，授权软件著作权1项，申请国家专利6项，其中2项已获授权。