31、网络安全与无线通信技术前沿探索

网络安全与无线通信技术前沿探索

网络攻击前兆症状检测算法

在网络安全领域，为有效检测网络攻击的前兆症状，设计了一种基于三步系统行为分析的算法。该算法的第二步行为分析技术涉及两个内核驱动。当第一步分析判断系统存在攻击前兆症状时，会将内核驱动以TDI过滤驱动（TDI Filter Driver）和NDIS协议驱动（NDIS Protocol Driver）的形式添加到系统中，如图4所示。

通过这种方式，在NDIS协议驱动和TDI客户端之间添加TDI过滤驱动后，能持续监控数据包的IP和端口数据。结合第一步行为分析生成的进程数据，可提取生成数据包的进程数据。

该算法的具体流程如下：
1. 在第一个隐身模块中监控进程、网络和内存，并进行第一步行为分析以检测变化。
2. 若检测到变化，则加载内核驱动（第二步），安装TDI过滤驱动和NDIS协议驱动，并使用执行环境感知攻击的规避方法检测僵尸程序。
3. 若检测到僵尸程序，保存TDI层系统的行为并分析NDIS层系统的行为。若两者行为不一致，则判定为攻击前兆症状。

以下是该算法的简要流程图：

graph LR
    A[监控进程/网络/内存] --> B{检测到变化?}
    B -- 是 --> C[加载内核驱动]
    C --> D[安装TDI FD和NDIS PD]
    D --> E[检测僵尸程序]
    E -- 是 --> F[保存TDI Lv. Sys.行为]
    F --> G[分析NDIS Lv. Sys.行为]
    G -- 不一致 --&