《网络安全自学教程》- 恶意代码检测技术

《网络安全自学教程》「计算机病毒」的定义是：编制或者在计算机程序中插入的 破坏计算机功能或者损坏数据，影响计算机使用，并能自我复制的一组计算机指令或者程序代码。病毒是「恶意代码」的一部分，凡是能够引起计算机故障，破坏计算机数据，影响计算机系统的正常使用的代码或指令，都是恶意代码。比如exe、dll这种二进制代码，或者asp、php、jsp这种脚本语言，或者微软提供给offic用户的宏语言都属于恶意代码。也就是说，病毒只是恶意代码的一种，所以后续内容中，我们会围绕着恶意代码的防护来讲解。恶意代码1、恶意代码分类2、恶意代码的传播方式3、恶意代码检测技术3.1、特征匹配3.2、云查杀3.3、启发式扫描3.4、行为检测3.5、机器学习3.6、虚拟机技术4、恶意代码的处置6、恶意代码的防护1、恶意代码分类不同厂商对于恶意代码的分类是不一样的，总体分为以下几类：病毒（Virus）：依赖宿主文件自动传播，把自身的恶意代码插入其他文件中，可以附带蠕虫、木马等功能，本身无法独立存在蠕虫（Worm）：不依赖宿主文件就能自动传播，通过复制自身进行传播，有独立的进程和文件木马（Torjan）：不传播，用来窃取数据后门（Backdoor）：不传播，用来绕过身份验证获取访问权限，比木马有更多的功能流氓软件（Adware/Spyware）：盗取用户隐私数据，浏览器首页锁定，捆绑安装等逻辑炸弹（Logic bomb）：以破坏为目的，锁定硬盘或操作系统。2、恶意代码的传播方式恶意代码的传播方式有文件传播、网络传播、软件传播三种。文件传播：病毒感染：在正常的文件中插入恶意代码，使文件感染病毒，文件被发送到别的电脑上，实现传播。移动介质：U盘等移动存储设备，利用电脑的自动播放（Autorun.inf）功能执行恶意代码，实现传播。网络传播：网页：（水坑式攻击）黑客在网页上挂马，用户访问网站，恶意代码就会执行，实现传播。电子邮件：（鱼叉式攻击）黑客发送钓鱼邮件，邮件的内容包含恶意url或二维码，点击或扫码恶意代码就会执行；或者邮件的附件中包含恶意程序，点击附件就会执行恶意代码，实现传播。即时通讯：通过QQ