邵孟良

廣州南洋理工職業(yè)學(xué)院電子信息工程系,廣東廣州510925

基于云計算的木馬檢測技術(shù)研究與實(shí)現(xiàn)

邵孟良

廣州南洋理工職業(yè)學(xué)院電子信息工程系,廣東廣州510925

傳統(tǒng)的木馬檢測方法難以適應(yīng)目前木馬病毒的更新速度和數(shù)量的增速。本文通過對傳統(tǒng)檢測手段分析，提出了一種改進(jìn)后的木馬檢測技術(shù)方案，并設(shè)計了關(guān)鍵的數(shù)據(jù)處理中間層對數(shù)據(jù)在網(wǎng)絡(luò)規(guī)模上進(jìn)行并行處理，實(shí)現(xiàn)了系統(tǒng)的高效能，高穩(wěn)定性運(yùn)行。借鑒先進(jìn)的云計算解決方案，設(shè)計實(shí)現(xiàn)了新的木馬檢測系統(tǒng)平臺，為了充分提高整個系統(tǒng)的可擴(kuò)展性，對服務(wù)端和客戶端的功能模塊進(jìn)行了嚴(yán)格的劃分。實(shí)驗(yàn)結(jié)果證明，云計算技術(shù)對木馬檢測具有很高的效率，該系統(tǒng)可以便捷地解決目前木馬檢測所遇到的問題。

云計算;木馬檢測;系統(tǒng)

當(dāng)前互聯(lián)網(wǎng)迅速發(fā)展個人計算機(jī)基本普及，木馬病毒的數(shù)量也出現(xiàn)了加速增長的現(xiàn)象，給廣大互聯(lián)網(wǎng)用戶造成了很大的危害。云計算防治技術(shù)將原本基于本地病毒掃描檢測的體系架構(gòu)轉(zhuǎn)變?yōu)榱嗽贫丝蛻舳藚f(xié)同檢測的防護(hù)架構(gòu)，把來自于網(wǎng)絡(luò)的病毒特征碼通過云端快速分享給客戶端，就可以幫助用戶大大節(jié)省更新病毒碼庫工作的時間[1]。

通過云計算技術(shù)，這樣用戶既可以快速地獲得最新的病毒防護(hù)庫[2]，又可以利用云計算平臺特性提高本地木馬病毒檢測的效率。本論文通過對傳統(tǒng)檢測手段的分析和學(xué)習(xí)，并借鑒目前比較先進(jìn)的云計算解決方案設(shè)計實(shí)現(xiàn)了一個新的木馬檢測系統(tǒng)平臺[3]。該系統(tǒng)可以高效的，迅速的，便捷的解決目前木馬檢測所遇到的問題。

1 木馬病毒及傳統(tǒng)檢測方法分析

1.1 木馬病毒

木馬病毒是一類計算機(jī)病毒的統(tǒng)稱，隱藏在用戶計算機(jī)中受控制臺的操作。按事先設(shè)計好的程式攻擊計算機(jī)的操作系統(tǒng)，改變原來操作系統(tǒng)的內(nèi)部結(jié)構(gòu)和執(zhí)行邏輯，可以輕松地執(zhí)行自己的功能。

1.2 傳統(tǒng)木馬檢測技術(shù)

現(xiàn)在木馬病毒防治軟件有很多，都是依靠病毒特征庫查殺，滯后現(xiàn)象嚴(yán)重，同時隨著特征庫越來越大，反而導(dǎo)致電腦越來越慢。目前的所有檢測技術(shù)可以劃分成靜態(tài)檢測技術(shù)和動態(tài)監(jiān)測技術(shù)兩種，兩種檢測技術(shù)都缺乏對未知木馬程序的查殺能力。

2 云計算技術(shù)及在木馬檢測中的應(yīng)用

2.1 基于云計算的分布式系統(tǒng)

將不同地點(diǎn)、具備不同功能以及不同數(shù)據(jù)的若干臺計算機(jī)通過通信網(wǎng)絡(luò)進(jìn)行連接，分布式處理系統(tǒng)可以在專門的云計算控制系統(tǒng)的控制和管理之下[4]，完成計算機(jī)處理系統(tǒng)相應(yīng)的信息處理功能。其結(jié)構(gòu)如下圖所示[5]：

圖1 分布式系統(tǒng)結(jié)構(gòu)圖Fig.1 The distributed system structure diagram

2.2 基于云計算的并行檢測算法研究

并行計算是為了加強(qiáng)計算機(jī)的運(yùn)算能力，從而獲得更強(qiáng)的智能表現(xiàn)。目前主要的做法有頂層分支模型、PVS(Principle Variation Splitting)、YBWC(Young Brother Wait Concept)等。在系統(tǒng)實(shí)踐中分別實(shí)現(xiàn)了三種算法，并且針對其中頂層分支模型進(jìn)行了改進(jìn)，取得了不錯的效果。并行計算使得多個線程可能擁有同一個數(shù)據(jù)資源，對這個數(shù)據(jù)資源的讀寫可能會造成意想不到的結(jié)果。程序執(zhí)行的結(jié)果與各個線程的執(zhí)行速度有關(guān)，而這是程序設(shè)計者所難以控制的。

例如兩個線程A和B共享一個全局變量N，N的初始值為0。線程函數(shù)中都有N=N+1的語句。程序設(shè)計者本意是希望A和B都能夠使N增加，最終的結(jié)果等效于串行地執(zhí)行N=2。然而如果不做特別的處理，實(shí)際執(zhí)行的情況卻有多種可能。如表1是順序執(zhí)行。

表1 程序A、B順序執(zhí)行情況Table 1 The situation of implementation of the programAand B in sequence

可以看出，由于線程執(zhí)行這段代碼的順序不同，可能會導(dǎo)致程序的執(zhí)行結(jié)果與串行程序不同。因此，對于共享數(shù)據(jù)的讀寫操作，通常需要做加鎖操作[24]。通過加鎖技術(shù)，程序設(shè)計者可以保證只有一個線程可以執(zhí)行某一代碼段。

本文提出“共享高層窗口”的方法。系統(tǒng)首先延展一定的層數(shù)k，然后使用共享窗口展開并行搜索?？梢钥吹?，這里的k越大，則搜索開銷越低，通信開銷越高。動態(tài)的調(diào)整k，使得系統(tǒng)總體加速比達(dá)到最大，并最終采用這一k值。本文提出的“共享高層窗口”的方法，允許系統(tǒng)根據(jù)自身特點(diǎn)，通過“動態(tài)延展”，尋找一個最佳k值，將這一方法的加速比發(fā)揮到最大。

3 基于云計算的木馬檢測系統(tǒng)整體設(shè)計分析

3.1 檢測模塊方法

本文采用特征碼檢測作為木馬檢測手段，特征碼檢測技術(shù)實(shí)現(xiàn)步驟如下[6]：

①搜集現(xiàn)存的確定的病毒程序。

②從病毒程序中提取特征代碼。

③把特征碼碼編輯成病毒庫便于檢測。

④檢測用戶設(shè)置的檢測文件。

PE文件說明[7]，它是這樣一類文件的簡稱，也是基于x86計算機(jī)系統(tǒng)的操作系統(tǒng)的一種可執(zhí)行文件的格式。如果源代碼需要在基于微軟操作系統(tǒng)上編譯成可執(zhí)行文件就需要遵循這種文件格式，就好比是基于linux的EIF文件格式。

PE文件列出了一些數(shù)據(jù)項(xiàng)，并通過這些內(nèi)容把一些可執(zhí)行文件連綴在一起，從而可以讓操作系統(tǒng)識別并高效地執(zhí)行。這往往是操作系統(tǒng)運(yùn)行一系列文件所必需的標(biāo)準(zhǔn)文件格式，也正是因?yàn)檫@個特點(diǎn)木馬病毒代碼很喜歡對這些文件進(jìn)行惡意修改，這樣用戶往往在不知道的情況下就啟動了病毒文件。

特征碼檢測有兩個條件是需要遵守的。那就是選擇的文件要有一定的代表性，另外所選取的樣本數(shù)量一定要充足。

3.2 分布式云計算結(jié)構(gòu)

本文形成了惡意代碼檢測系統(tǒng)模型，并由此模型設(shè)計了基于服務(wù)器-客戶端結(jié)構(gòu)的惡意代碼檢測系統(tǒng)框架。該框架充分地考慮到了智能移動終端相比于傳統(tǒng)計算機(jī)終端的特點(diǎn)和局限性。使其可以在服務(wù)器端通過同時使用多個惡意代碼檢查方法，引入云查殺概念，提高了整個系統(tǒng)的惡意代碼檢測性能。將劃分合理的結(jié)構(gòu)層作為該框架的基本目的，將應(yīng)用程序的控制平臺作為系統(tǒng)的前端，將云計算的中間件作為系統(tǒng)的中間層，數(shù)據(jù)庫接口作為系統(tǒng)的后臺。末層是分布式操作系統(tǒng)。檢測方法為四層結(jié)構(gòu)，見圖2：

圖2 分布式設(shè)計模型Fig.2 The distributed design model

在該模型結(jié)構(gòu)下，用戶首先從系統(tǒng)中調(diào)用主控制程序，系統(tǒng)中的n個計算節(jié)點(diǎn)被啟用，子計算任務(wù)運(yùn)行，每一個子任務(wù)將被同時執(zhí)行并運(yùn)算完成；此處把單獨(dú)的子任務(wù)計算結(jié)果記作為：n1，···，nn。然后用一個臨時的表將它們存儲起來，一旦表中的記錄個數(shù)達(dá)到上述設(shè)定的n個任務(wù)數(shù)，匯總程序生效，其功能是將自動提交的結(jié)果進(jìn)行匯總。

3.3 木馬檢測模塊

該模塊接受用戶的操作指令，檢測木馬病毒，提供處理結(jié)果，同時可以實(shí)現(xiàn)后臺監(jiān)控，并且為檢測引擎算法收集所需的相關(guān)運(yùn)行參數(shù)，該模塊同時提供系統(tǒng)文件訪問和文件控制等功能，負(fù)責(zé)用戶的UI界面、任務(wù)發(fā)送和程序檢測等部分，接受待測的文件是封裝模塊之后需要暴露的接口功能。該模塊需要具備一定的網(wǎng)絡(luò)功能，則用戶界面可以與系統(tǒng)進(jìn)行交互，便于使用。

系統(tǒng)給客戶端分配了盡可能少的工作，致使系統(tǒng)的大部分運(yùn)算任務(wù)通過服務(wù)器端完成，所以客戶端的神經(jīng)中樞部分便是惡意代碼檢測引擎服務(wù)器交互模塊。通過后臺運(yùn)行，客戶端可以將結(jié)果直觀的顯示給用戶，在本機(jī)完成用戶體驗(yàn)。客戶端各個部分的功能結(jié)構(gòu)如圖3所示。

3.4 數(shù)據(jù)庫模塊

對數(shù)據(jù)庫模塊進(jìn)行設(shè)計的過程中，該系統(tǒng)部分使用了分布式數(shù)據(jù)庫操作系統(tǒng)，目的是將所有的數(shù)據(jù)統(tǒng)一存儲在同一臺計算機(jī)中，然后再對整個數(shù)據(jù)庫模塊進(jìn)行統(tǒng)一管理，數(shù)據(jù)操作命令由用戶從控制終端發(fā)出以后，主機(jī)上的數(shù)據(jù)庫管理系統(tǒng)會對用戶發(fā)出的命令進(jìn)行接收并且作出處理，之后將結(jié)果數(shù)據(jù)反饋給用戶。

分布式數(shù)據(jù)庫基于同一個整體的邏輯出發(fā)。在分布數(shù)據(jù)庫系統(tǒng)聯(lián)邦中各個子數(shù)據(jù)庫系統(tǒng)相對獨(dú)立[8]，分布式數(shù)據(jù)庫系統(tǒng)包括一個分布式數(shù)據(jù)庫管理系統(tǒng)以及一個分布式數(shù)據(jù)庫。

3.5 云計算的中間件設(shè)計與實(shí)現(xiàn)

以云計算的中間件作為該系統(tǒng)的核心，系統(tǒng)運(yùn)算的中心具有重要的作用。其主要作用包括了：實(shí)時接受客戶端注冊請求，查殺客戶端注冊請求，同時對客戶端發(fā)送的待檢測數(shù)據(jù)進(jìn)行處理和優(yōu)化，并且對惡意代碼的檢測算法進(jìn)行修改，進(jìn)一步運(yùn)行之，然后通過客戶端將運(yùn)算結(jié)果返回給客戶。

為了對連接至中間件的所有的客戶端進(jìn)行管理。將客戶端連接管理模塊的主要功能分為所有客戶端和中間件組成的開放式系統(tǒng)平臺。設(shè)計過程中需要為客戶端、中間件端以及中間件等各定義一套相應(yīng)的通信協(xié)議標(biāo)準(zhǔn)，對它們之間相互發(fā)送數(shù)據(jù)需要注意的細(xì)節(jié)問題進(jìn)行規(guī)范并重新定義。

在對中間件端的實(shí)踐驗(yàn)證過程中，按照優(yōu)勝劣汰的方法，根據(jù)不同算法的表現(xiàn)，對不同算法間的檢測效果進(jìn)行評價。本文按照傳統(tǒng)特征碼的掃描技術(shù)與動態(tài)啟發(fā)式行為結(jié)合的檢測算法，在后續(xù)的實(shí)踐中對中間件端的惡意代碼檢測算法進(jìn)行優(yōu)化和調(diào)整。作為核心的工作模塊，惡意代碼檢測算法的運(yùn)行模塊主要是為了進(jìn)行可疑代碼的檢測，結(jié)合傳統(tǒng)的掃描技術(shù)，主要利用終端的啟發(fā)式行為檢測方法，對病毒查殺的速度以及精確度進(jìn)行提高。

在本套系統(tǒng)的設(shè)計中主要分為客戶端的設(shè)計和服務(wù)器的主程序兩個大塊來設(shè)計和實(shí)現(xiàn)的。客戶端和服務(wù)端的功能劃分應(yīng)該是十分明確和清晰而又合理的[9]。首先客戶端方面，需要有三個模塊來實(shí)現(xiàn)自己的功能主體，除了底層的交互模塊，它的主要功能模塊是這樣劃分的：

1.代碼分析模塊

2.特征碼提取模塊

3.對比檢測模塊

首先是分布是數(shù)據(jù)庫的搭建，本文中默認(rèn)的是微軟的Sqlserver專業(yè)版，它在在一定程度上解決了異構(gòu)環(huán)境下的資源共享、通信安全、規(guī)模擴(kuò)展等問題。其次是木馬檢測流程，如圖4所示：

圖4 特征碼檢測流程圖Fig.4 The detection process of characteristic code

本文提供的分布式實(shí)現(xiàn)主要是基于目前先進(jìn)的分布式數(shù)據(jù)庫，它的通信可靠性、安全性都是一般的分布式系統(tǒng)難以提供的，而且對服務(wù)的實(shí)現(xiàn)也比較簡單、便于開發(fā)，也比較適于新功能的集成。下面是對整個系統(tǒng)的一個交互圖（圖5）。

客戶端的工作流程傾向于惡意代碼查殺的前半部分工作，即找到需要查殺的可疑文件，獲取其特征數(shù)據(jù)，然后將其交由服務(wù)器端的惡意代碼檢測引擎進(jìn)行進(jìn)一步詳細(xì)分析，這樣的架構(gòu)有效地降低了客戶端的資源消耗，實(shí)現(xiàn)被動查殺，即由惡意代碼檢測程序主動發(fā)起。其工作流程如圖6所示。

- 2(P9+ Q9)ψ- (P+ Q)ψ9 Q= - 2(P9+ Q9)ψ- Pψ9- Q(ψ9?1)=

圖5 系統(tǒng)交互圖Fig.5 Schematic diagram of the system interaction

圖6 主動查殺工作流程Fig.6 The active killing process

4 模擬實(shí)驗(yàn)結(jié)果與分析

4.1 目的與環(huán)境

為了驗(yàn)證分布式云計算算法的高效性和正確性，根據(jù)系統(tǒng)設(shè)計架構(gòu)模擬木馬檢測的數(shù)據(jù)計算過程，分別設(shè)計了兩個實(shí)驗(yàn)。測試的目標(biāo)一是測試分布式計算的并行能力；二是測試分布式模型的計算效率。

在個人計算機(jī)上安裝windows 7專業(yè)版操作系統(tǒng)，然后在win7操作系統(tǒng)上安裝VMware workstation8.0虛擬機(jī)環(huán)境。然后在基于VMware的虛擬環(huán)境，構(gòu)造多臺winxp虛擬機(jī)并在虛擬機(jī)上安裝sqlserver 2005數(shù)據(jù)庫。最后在虛擬的操作系統(tǒng)中安裝visual studio 2005集成開發(fā)環(huán)境。

4.2 方法與結(jié)果分析

測試分兩種方法進(jìn)行，方法一的步驟為：

1.編寫并運(yùn)行主機(jī)客戶端的程序，內(nèi)部根據(jù)存儲過程調(diào)用數(shù)據(jù)庫編程接口。

2.運(yùn)行主運(yùn)算程序，輸入特征碼數(shù)據(jù)。

3.通過分布式計算并合成實(shí)驗(yàn)數(shù)據(jù)統(tǒng)計。

實(shí)驗(yàn)過程中需要根據(jù)分布式云計算的算法實(shí)現(xiàn)數(shù)據(jù)在幾臺客戶機(jī)上隨機(jī)的分布計算任務(wù)，并最終通過網(wǎng)絡(luò)與主機(jī)交互。具體的實(shí)驗(yàn)效果統(tǒng)計如下：

表2 實(shí)驗(yàn)數(shù)據(jù)統(tǒng)計表Table 2 Statistics of experimental data

方法二比較幾種并行搜索的加速比，程序A使用的是頂層分支模型，程序B使用的是分類搜索模型，程序C使用的是靜態(tài)擴(kuò)展模型，程序D使用的是改進(jìn)的頂層分支模型。程序全都運(yùn)行實(shí)驗(yàn)一所選平臺。

分別選擇12種數(shù)據(jù)樣本，4個數(shù)據(jù)量比較大，4個數(shù)據(jù)量適中，4個數(shù)據(jù)量比較小，12個文件的復(fù)雜程度各不相同。在這12個樣本測試下，程序A、程序B分別在1,2,4,8線程下進(jìn)行計算，統(tǒng)計4種條件下程序?qū)τ谶@些計算任務(wù)的平均運(yùn)算時間，并繪制成曲線。實(shí)驗(yàn)結(jié)果如圖7：

圖7 并行執(zhí)行時間表Fig.7 The parallel execution time

結(jié)果分析：由于頂層分支模型固有的特性，其加速比（Speedup）隨著可用線程n的上升不斷下降?？傮w效果略好于分類檢測以及靜態(tài)擴(kuò)展檢測，與原頂層分支模型相比更有明顯的提高。

通過本次試驗(yàn)，我們可以發(fā)現(xiàn)在網(wǎng)絡(luò)環(huán)境比較理想的情況下，分布式計算可以按照網(wǎng)絡(luò)中終端的數(shù)量使運(yùn)算效率成線性時間下降。測試數(shù)據(jù)很好地證明了分布式云計算對運(yùn)算的效率尤其在云環(huán)境下，云端的數(shù)量很龐大的時候，運(yùn)算效率會有質(zhì)的提高。實(shí)驗(yàn)結(jié)果很好的驗(yàn)證了本文提出的問題。

5 結(jié)論

本文設(shè)計實(shí)現(xiàn)了一個新的木馬檢測系統(tǒng)，系統(tǒng)平臺基于云計算分布式平臺，系統(tǒng)有兩個層面的設(shè)計，一個是基于服務(wù)器端的設(shè)計，另一個是基于客戶端的設(shè)計。在服務(wù)器方面由于中間還采用了客戶端的設(shè)計理念。通過實(shí)驗(yàn)檢測該系統(tǒng)在大規(guī)模數(shù)據(jù)處理的能力即可驗(yàn)證在木馬檢測方面的提高。

[1]羅璽,羅紅,王曉東,等.病毒特征檢測中改進(jìn)的多模式匹配算法[J].計算機(jī)應(yīng)用與研究,2012,29(10):3828-3830

[2]余曉姿.基于分類的未知病毒檢測技術(shù)研究與實(shí)現(xiàn)[D].北京:北京郵電大學(xué),2013

[3]林闖,蘇文博,孟坤,等.云計算安全:架構(gòu)、機(jī)制與模型評價[J].計算機(jī)學(xué)報,2013,36(9):1765-1784

[4]李歡,鄭天明.計算機(jī)網(wǎng)絡(luò)安全和計算機(jī)病毒的防范[J].煤炭技術(shù),2012,31(11):214-216

[5]徐迎迎.云安全框架下的病毒防范關(guān)鍵技術(shù)研究[D].北京:北京郵電大學(xué),2013

[6]Yap TS,Ewe HT.A mobile phone malicious software detection model with behavior checker[C]//Web and Communication Technologies and Internet-Related Social Issues-HSI 2005.Berlin:Springer Heidelberg,2005:57-65

[7]Nowroz AN,Hu K,Koushanfar F,et al.Novel Techniques for High-Sensitivity Hardware Trojan Detection Using Thermal and Power Maps[J].Computer-Aided Design of Integrated Circuits and Systems,IEEE Transactions on,2014, 33(12):1792-1805

[8]胡光永.基于云計算的數(shù)據(jù)安全存儲策略研究[J].計算機(jī)測量與控制,2011,19(10):2539-2542

[9]鈕雪蓮,凌力.Symbian系統(tǒng)平臺安全性設(shè)計分析與改進(jìn)[J].計算機(jī)工程,2006,32(11):194-196

The Realization and Research on Trojan Detection Technology Based on the Cloud Calculation

SHAO Meng-liang
Department of Electronic Information Engineering,Guangzhou Nanyang Polytechnic,Guangzhou 510925,China

It is difficult to detect Trojan virus with the traditional Trojan detection methods because of the current update rate and the number growth of that.This paper payed attention to the analysis through the traditional means of detection,and putted forward the technical solutions to improve the traditional Trojan detection technology,and then designed a critical middle layer of data processing to process in parallel so that the system achieved a high-performance and high stability characteristics.This paper achieved a new Trojan detection system platform learning from the advanced cloud calculation solutions.While,for improving the efficiency of the whole system,this paper divided the function modules of the server and the client.Experimental results showed that the cloud computing technology had high efficiency of Trojan detection,and this system could solve the problems encountered in the Trojan detection conveniently.

Cloud calculation;Trojan detection;system

TP311.5

A

1000-2324(2015)05-0769-06

2014-01-20

2014-02-05

廣東省高職高專云計算與大數(shù)據(jù)專業(yè)委員會2014年度教育科研課題(GDYJSKT14-05);廣州市戰(zhàn)略性主導(dǎo)產(chǎn)業(yè)發(fā)展資金項(xiàng)目(2013-KXF-001)

邵孟良(1972-),男,福建省連江縣人,講師,碩士,主要從事計算機(jī)系統(tǒng)安全、云計算與大數(shù)據(jù)處理.E-mail:shao_sml@163.com