本章需掌握知识点：

  • 恶意代码的预防
    • 了解恶意代码的概念、传播方式、安全策略防范、减少漏洞、减轻威胁等，针对恶意代码的预防措施
  • 恶意代码的检测分析
    • 理解特征扫描、行为检测的区别及优缺点
    • 了解静态分析、动态分析的概念及区别
  • 恶意代码的清除
    • 了解感染引导区、感染文件、独立型、嵌入型恶意代码清除的方式
  • 基于互联网的恶意代码防护
    • 了解基于互联网的恶意代码防护概念

一、什么是恶意代码

  1. 什么是恶意代码
    1. 恶意代码是指能够引起计算机故障，破坏计算机数据，影响计算机系统的正常使用的程序代码、指令。
    2. 《中华人民共和国计算机信息系统安全保护条例》第二十八条：“计算机病毒，是指编制或者在计算机程序中插入的破坏计算机功能或者毁坏数据，影响计算机使用，并能自我复制的一组计算机指令或者程序代 码 (1994.2.18)

  2. 类型：二进制代码、脚本语言、宏语言等

    二、恶意代码的表现形式：

  3. 病毒（Virus）：需要宿主文件才能传播，如CIH病毒。

  4. 蠕虫（Worm）：有独立的进程和文件，能够独立传播，如wannacry。
  5. 后门程序（Backdoor）：远程控制主机，bot、灰鸽子后门。
  6. 木马（Trojan）：盗取账号、文件、数据。
  7. 流氓软件（Adware/Spyware）：盗取用户隐私数据，锁定IE首页，捆绑安装等。

  8. 逻辑炸弹（Logic bomb）：锁定硬盘或操作系统

    三、恶意代码的发展趋势与传播方式

  9. 恶意代码的发展趋势

    1. 传播速度
      1. 恶意代码爆发和传播速度越来越快
    2. 攻击意图
      1. 从游戏、炫耀逐步转向恶意牟利
    3. 功能
      1. 恶意代码的分工越来越细
    4. 实现技术
      1. 恶意代码实现的关键技术不断变化
    5. 传播范围
      1. 恶意代码呈现多平台传播的特征

  10. 恶意代码的传播方式

    1. 文件传播
      1. 感染
      2. 移动介质（Autorun.inf）
    2. 网络传播
      1. 网页、电子邮件、即时通讯、共享、漏洞
    3. 软件部署
      1. 逻辑炸弹
      2. 预留后门
      3. 文件捆绑

        四、恶意代码的预防技术

  11. 增强安全策略与意识

  12. 减少漏洞
    1. 补丁管理
    2. 主机加固

  13. 减轻威胁

    1. 防病毒技术
    2. 间谍软件检测和删除工具
    3. 入侵检测IDS/入侵防御系统IPS
    4. 防火墙 NGFW
    5. 路由器、应用安全设置等

      五、恶意代码的检测与分析技术

  14. 恶意代码检测技术-特征码扫描

    1. 工作机制：特征匹配
      1. 病毒库
      2. 扫描
    2. 优势
      1. 准确
      2. 易于管理
    3. 不足
      1. 效率问题
      2. 滞后（先有病毒后有特征库，需要持续更新）
  15. 恶意代码检测技术-行为检测
    1. 工作机制：基于统计数据
      1. 恶意代码行为有哪些
      2. 行为符合度
    2. 优势
      1. 能检测到未知病毒
    3. 不足
      1. 误报率高
      2. 难点：病毒不可判定原则
  16. 恶意代码分析技术
    1. 静态分析
      1. 不实际执行恶意代码，直接对二进制代码进行分析
        1. 文件特性，如文件形态、版本、存储位置、长度等
        2. 文件格式，如PE信息、API调用等
    2. 动态分析
      1. 运行恶意代码并使用监控及测试软件分析
      2. 本地行为：文件读写、注册表读写等
      3. 网络行为：远程访问、调用等

六、恶意代码的清除与防御

  1. 恶意代码的清除
    1. 感染引导区
      1. 修复/重建引导区
    2. 感染文件
      1. 附着型
      2. 替换型
    3. 独立文件
      1. 内存退出，删除文件
    4. 嵌入型
      1. 更新软件或系统
      2. 重置系统
  2. 基于互联网技术的防御
    1. 恶意代码监测与预警体系
      1. 蜜罐、蜜网
    2. 恶意代码云查杀
      1. 分布式计算
  3. 恶意代码监测及预警
    1. 什么是Honeypot（蜜罐）技术
      1. Honeypot的作用
        1. 网络上的“捕鼠器”，用于研究网络黑客攻击
        2. 广泛被用于捕获蠕虫病毒或木马程序样本
      2. Honeypot与Honeynet（蜜网，诱骗黑客攻击的网络）

image.png