【恶意代码概述】
恶意代码,包括病毒、木马、蠕虫等,已成为互联网的主要安全威胁。根据2006年美国CSI和FBI的报告,恶意代码造成的损失在2000年至2006年间持续居首。在国内,2007年的全国信息网络安全状况调查显示,91.4%的被调查单位遭受了恶意代码的侵袭,创历史新高。为应对这一问题,北京大学计算机所信息安全工程研究中心致力于恶意代码的研究和防护技术开发,与企业合作构建了信息安全产业链。
【恶意代码样本采集】
面对恶意代码的快速传播,传统的采集方式(如现场提取、用户上报、厂商交换)难以满足需求。工程研究中心的“狩猎女神”项目组利用蜜罐技术,构建了自动化采集系统,结合低交互式蜜罐(如Nepenthes)和高交互式蜜罐(如HoneyBow),提高了恶意代码的监测效率。
【低交互式蜜罐Nepenthes】
Nepenthes是一款开源的恶意代码采集软件,通过模拟漏洞服务与恶意代码交互。它包括漏洞模拟、Shellcode分析、获取、提交、日志和其他模块,能自动捕获和处理恶意代码样本。例如,通过模拟LSASS、RPC-DCOM和ASN1等漏洞吸引恶意代码,然后分析并提取样本。
【高交互式蜜罐HoneyBow】
HoneyBow是北京大学狩猎女神项目组研发的高交互式蜜罐系统,由MwWatcher、MwFetcher和MwHunter三个工具组成,它们采用不同策略检测和收集恶意代码,特别是针对未知漏洞的“零日”攻击。MwWatcher通过监控蜜罐系统的文件变化来发现恶意活动,而MwFetcher和MwHunter则专注于捕获和分析恶意代码样本。
【恶意代码分析与防范】
工程研究中心在恶意代码分析方面取得了显著成果,研发了具备自主知识产权的防虫墙产品,并将其应用于CNCERT/CC等国家相关部门。通过深入分析恶意代码,提取特征码,可以制定有效的应对策略,及时抑制恶意代码的传播。
总结,面对恶意代码的威胁,关键在于早期发现、快速响应和高效防范。低交互式和高交互式蜜罐技术的结合提供了强大的自动化样本采集能力,有助于提升整体网络安全防御水平。同时,科学研究与产业合作是解决这个问题的关键,需要不断研发新技术,以应对日益复杂多变的恶意代码挑战。
2026-03-03 11:51:13
464KB
1