安全防御之恶意代码与防护技术-Toy模板网

这篇具有很好参考价值的文章主要介绍了安全防御之恶意代码与防护技术。希望对大家有所帮助。如果存在错误或未考虑完全的地方，请大家不吝赐教，您也可以点击"举报违法"按钮提交疑问。

恶意代码是指没有作用却会带来危险的代码。通常把未经授权便干扰或破坏计算机系统、网络功能的程序或代码（一组指令）称之为恶意程序。恶意程序包括计算机病毒、木马、蠕虫等。详见《网络安全之恶意代码》
恶意代码的防范，不是单靠一种或几种技术就能解决的，而要靠技术、管理以及用户安全意识的共同防范，只有三者相结合才能最大程度地防止恶意代码对系统和用户信息的破坏。
目前，恶意代码防范方法主要分为两方面：基于主机的恶意代码防范方法和基于网络的恶意代码防范方法。

一、主机恶意代码防范

基于主机的恶意代码防范方法是目前检测恶意代码最常用的技术，具体分为：基于特征的扫描技术、校验和检测法和安全操作系统对恶意代码的防范等。

1、基于特征的扫描技术

基于特征的扫描技术的基本思想是模式匹配。在扫描程序工作之前，必须先建立恶意代码特征库，根据特征库中的特征串，在所有被扫描文件中进行匹配查找。用户通过更新特征库，查找最新的恶意代码版本。

2、校验和检测法

校验和检测法是一种保护信息资源完整性的控制技术，例如Hash值、循环冗余码等。只要文件内部有一个比特发生了变化，校验和的值就会改变。未被恶意代码感染的系统首先会生成检测数据，然后周期性地使用校验和检测文件的改变情况。
虽然校验和检测法可以检测未知恶意代码对文件的修改，但同样也存在不足：
（1）校验和检测法实际上不能检测文件是否被恶意代码感染，它只是查找变化。即使发现恶意代码造成了文件的改变，校验和检测法也无法将恶意代码消除，也不能判断文件究竟被何种恶意代码感染。
（2）恶意代码可以采用多种手段绕开校验和检测法，使之文件改变难以被检测。

3、安全操作系统对恶意代码的防范

在恶意代码入侵中，获得操作系统控制权，使操作系统为它分配系统资源是必经步骤。
操作系统的安全机制包括访问控制机制、主体标识与鉴别、安全审计、内存存取保护、文件系统保护、信息通路安全保护机制、最小特权管理、安全配置等。
（1）访问控制机制：操作系统的访问控制是操作系统安全控制保护中重要的一环，在身份识别的基础上，根据身份对提出的资源访问请求加以控制。
（2）主体标识与鉴别：标识与鉴别机制用于保证只有合法的用户才能存取系统中的资源，发生在用户登录系统时，用于识别每个用户的真实身份。标识鉴别机制的设计和实现需要达到两个方面的要求：协助安全操作系统实现新增的安全功能和安全策略，包括增加用户属性，并通过扩展标识鉴别命令来支持这些属性；
（3）安全审计：对系统中有关安全的活动进行记录、检查、及审核，目的在于检测和阻止非法用户对计算机系统的入侵，并显示合法用户的误操作。
（4）内存存取保护：防止主存储器中有限个程序的相互干扰和保护其中有限区域内的信息安全，限定各程序在规定的主存区域内，称为存储保护，内存存取保护是安全操作系统中一个最基本的要求，也是最基本的安全机制，主要是保护用户在存储器中的数据，在操作系统设计之初，针对内存通常是分块管理的，现在多采用基于页的存储管理方式。
（5）文件系统保护：文件系统是文件命名、存储和组织的总体结构，是计算机系统和网络的重要资源，文件系统的安全保护措施主要在分区、文件系统的安全加载、文件共享安全和文件系统的数据备份这四个方面。
（6）信息通路安全保护机制：即对信息在操作系统中经过的道路的保护，涉及两个方面：一方面对显式信息道路的保护，防止非法信息经过显式道路；另一方面，要堵住隐蔽的新系统了，防止恶意用户通过隐蔽信道进出。
（7）最小特权管理：最小特权是指在完成某种操作时所赋予系统中每个主体必不可少的特权。
（8）安全配置：做好操作系统安全设置，主要包括以下几个方面：操作系统安全策略、关闭不必要的服务、关闭不必要的端口、开启审核策略、开启密码策略、开启账户策略、备份敏感文件、不显示上次登陆名、禁止建立空连接和下载最新补丁等。

二、网络恶意代码防范

由于恶意代码具有相当的复杂性和行为不确定性，恶意代码的防范需要多种技术综合应用。基于网络的恶意代码防范方法包括：恶意代码检测防御和恶意代码预警。
其中常见的恶意代码检测防御包括：基于GRIDS的恶意代码检测、基于PLD硬件的检测防御、基于Honey Pot的检测防御和基于CCDC的检测防御。

1、基于GRIDS的恶意代码检测

著名的GRIDS主要针对大规模网络攻击和自动化入侵设计的，它收集计算机和网络活动的数据以及它们之间的连接，在预先定义的模式库的驱动下，将这些数据构建成网络活动行为来表征网络活动结构上的因果关系。

2、基于PLD硬件的检测防御

华盛顿大学应用研究室的John W. Lockwood、James Moscola1和Matthew Kulig等提出了一种采用可编程逻辑设备（PLD，Programmable Logic Devices）对抗恶意代码的防范系统。PLD由三个相互内联部件DED（Data Enabling Device）、CMS（Content Matching Server）和RTP（Regional Transaction Processor）组成。

3、基于Honey Pot的检测防御

Honey Pot，即蜜罐技术，其主要功能是对系统中所以操作和行为进行监视和记录，可以使网络安全专家通过精心的伪装，是的攻击者在进入到目标西后仍不知道自己的行为已经处于系统的监视之下。Honey Pot的设计初衷就是让黑客入侵，借此收集证据，同时隐藏真实的服务器地址，用于防范网络黑客攻击。

4、基于CCDC的检测防御

由于主动式传播恶意代码具有生物病毒特征，美国安全专家提议建立CCDC（The Cyber Centers for Disease Control）来对抗恶意代码攻击。
CCDC能够实现对大规模恶意代码入侵的预警、防御和阻断，但CCDC也存在一些问题：
（1）CCDC是一个规模庞大的防范体系，要考虑体系运转的代价；
（2）由于CCDC体系的开放性，CCDC自身的安全问题不容忽视；
（3）在CCDC防范体系中，攻击者能够监测恶意代码攻击的全过程，深入理解CCDC防范恶意代码的工作机制，因此可能导致突破CCDC防范体系的恶意代码出现。

三、防护技术

防病毒技术就是通过一定的技术手段防止计算机病毒对系统的传染和破坏。但是随着Internet技术的发展，以及E-mail和一批网络工具的出现，在改变人类信息传播方式的同时也使计算机病毒的种类迅速增加，扩散速度也大大加快，计算机病毒的传播方式迅速突破地域的限制，由以往的单机之间的介质传染转换为网络系统间的传播。现在，计算机病毒已经可以通过移动磁盘、光盘、局域网、www浏览、E-Mail， FTP下载等多种方式传播。

为了对抗恶意代码的威胁，安全防护技术采用多层次的策略和工具来检测、阻止和清除这些恶意软件。以下是一些常见的恶意代码防护技术：