基于专家系统的主机恶意代码行为检测系统

摘要

本发明公开了一种基于专家系统的主机恶意代码行为检测系统，包括行为捕获模块、输出规格化处理模块、推理机和行为知识库；行为捕获模块捕获系统服务调用及参数信息、驱动间通讯信息、遗留行为痕迹信息和系统关键内核数据；输出规格化处理模块将捕获到的原始数据转换为事实；行为知识库以规则的形式存储不同种类的恶意代码的主要可疑行为的专家知识；推理机接受事实，并从行为知识库中搜取匹配的知识，从而推理得出检测结果。应用本发明，能够检测具有特定行为的特征码已知或未知的恶意代码，以及采用了一些诸如多态、变形、混淆、加壳等规避技术来改变自身特征码的恶意代码，且检测率高、资源占用低、无需用户干预。

主权项

1. 一种基于专家系统的主机恶意代码行为检测系统，其特征在于，该系统包括行为捕获模块、输出规格化处理模块、推理机和行为知识库；所述行为捕获模块捕获系统服务调用及参数信息、驱动间通讯信息、遗留行为痕迹信息和系统关键内核数据；所述输出规格化处理模块将捕获到的原始数据转换为专家系统推理机识别的规格化数据——事实；所述行为知识库以规则的形式存储不同种类的恶意代码的主要可疑行为的专家知识；所述推理机根据输出规格化处理模块得到的“事实”，以及行为知识库中的恶意代码的可疑行为的知识，采用专家系统推理引擎进行推理，并给出推理结果以判断被检程序是否为恶意代码。