基于行为分析的木马检测系统设计与实现
采用行为分析的单机木马防护系统设计与实现
关键词 ： 行为分析； 贝叶斯 算法； 木马； 防护
ＤＯ ：０３ ７ ／ｉ ｎ１ ０ —３ １ ０ １ １０ ４ 文章编号 ：０ ２８ ３ （０ １ １．０ ６０ 文献标识码 ： 中图分 类号 ： Ｐ ９ ． Ｉ１ ． ８ ．ｓ ． ２８ ３ ． １． ．１ ７ ｊｓ ０ ２ １ １０ ．３ １２ １ ）１０ ４ ．３ Ａ Ｔ ３ ３０ ８
１ 引言
随着计算机 网络 技术的迅速 发展 ， ｔ ｔ Ｉ ｅ 逐渐渗透 到政 ｎ ｍｅ 府、 工业 、 教育 、 国防 领域 ， 网络 在方 便地带 来 大量信 息 的 同 时 ， 带来 了病毒 、 马 、 虫等诸多安全 问题 ， 也 木 蠕 由此造 成黑客
出了一种使用机器学 习的基 于行为的木马检测方 法 ； 顾雨捷 等人提 出 了一 种新 的基 于 多层 模糊分 类系统 的反木马算 法 ， 最终实现木马判别的局 部高精度分类 。
ｈ ｖｏ ｆ ｔｅ ｐｏ ｒ ｕｉｇ Ｂａｅｉ ｌｏｉ ｍ ｏ ｎ ｌｓ ｆｔｅ ｐｏ ｒｍ ｅ ａｉｒ ｃａａｔ ｉ ｉ ， ｒｊｎ ｈ ｒｅ ｐｏ ｒｍ ａｉｒ ｏ ｈ ｒｇａ ｓ ｙ ｓ ｎ ａｇｒｈ ｆｒ ａａ ｉ ｏ ｈ ｒｇａ ｂ ｈｖｏ ｈ ｒｃｅ ｓｃ Ｔｏａ ｏｓ ｒｇａ ｍ， ｎ ａ ｔ ｙｓ ｒｔｓ
Ａｂｔａｔ ａｅ ｎ ｂ ｈ ｖｏｓ ａａｙｉ，ｈｓｐ ｐｒ ｄｓ ｎ ｎ ｅｌ ｅ ｒ ａ ｏｓ ｐｏｅｔ ｎ ｓｓ ｍ ｆｒＰ Ｔ ｅ ｓｓ ｍ ｓ ｃ：Ｂ ｓｄ ｏ ｅ ａｉｒ ｎ ｌｓ ｔｉ ａ ｅ ｅｉ ｓ ａｄ ｒａｉ ｓ ａ Ｔｏ ｎ ｈ ｒｅ ｒｔ ｉ ｙｔ ｏ Ｃ．ｈ ｙｔ ｒ ｓ ｇ ｚ ｊ ｃｏ ｅ ｅ ｏ ｅｃｍｅ ｈ ｈ ｒ ｇ ｆＴｏａ ｏｓ ｅｅｔ ｎ ｔ ｈ ｉｕ ｓｗｈｃ ａｅ ｎ ｓ ｔ ｅｔｒ ｏ ｅ ａ ｄ ｍｏ ｉ ｒ ｓｓｉ ｏｓ ｂ — ｖｒｏ ｓｔｅ ｓｏｔ ｅ ｏ ｒｊｎ ｈ ｒｅ ｄｔｃ ｏ ｅ ｎｑ ｅ ｉｈ ｂ ｓｄ ｏ ｔ ｉ ｆａｕｅ ｃ ｄ ｎ ｎｔ ｓ ｕｐｃ ｕ ｅ ａ ｉ ｃ ａｃ ｏ ｉ
网络安全中恶意软件动态行为分析与检测
网络安全中恶意软件动态行为分析与检测随着互联网的迅猛发展，网络安全问题变得日益严重，其中恶意软件的威胁越来越突出。
恶意软件通过各种手段侵入计算机系统，可能导致数据泄露、系统崩溃甚至个人隐私被侵犯。
为了保护计算机和网络免受恶意软件的威胁，恶意软件的动态行为分析与检测成为了网络安全研究的重要领域。
恶意软件通常被设计成具有潜在破坏性的代码，比如病毒、蠕虫、木马和间谍软件等。
他们可以隐藏在可执行文件、移动设备应用程序、浏览器扩展和系统服务等多种形式中。
因此，静态分析或只依赖特征检测的方法已经不能满足恶意软件检测的需求。
动态行为分析成为了一种更有效的方法。
动态行为分析通过观察恶意软件在执行过程中的行为来判断其是否为恶意软件。
这种方法通常使用沙箱或虚拟机环境来模拟计算机系统和网络环境，以更好地观察和分析恶意软件的行为。
通过动态行为分析，我们可以了解恶意软件的详细功能和攻击方式，为后续的检测和防御提供线索。
在进行动态行为分析时，我们需要关注以下几个方面：首先是恶意软件的文件行为。
恶意软件通常会在计算机系统中创建、修改或删除文件。
通过监控文件系统的活动，我们可以检测到恶意软件对系统文件的操纵行为。
同时，恶意软件可能还会读取、写入和传输文件，这些操作都可能会对系统安全产生威胁。
其次是恶意软件的网络行为。
恶意软件通常会与远程命令和控制服务器进行通信，以获取指令或传输被窃取的数据。
通过监测网络流量，我们可以发现不正常的网络活动，判断系统是否感染了恶意软件。
还有就是恶意软件的系统行为。
恶意软件可能会修改系统的注册表、启动项和进程列表，以实现自启动和隐藏自身的目的。
通过监测这些系统行为，我们可以及时发现并阻止恶意软件的进一步传播和破坏。
除了上述行为，恶意软件可能还会利用漏洞进行攻击，尝试绕过杀毒软件的检测，甚至伪装成合法软件。
因此，动态行为分析还需要结合其他技术手段，如代码静态分析、行为特征识别和机器学习等，以提高对恶意软件的检测率和准确性。
针对恶意侵入的网络入侵检测系统设计与实现
针对恶意侵入的网络入侵检测系统设计与实现随着互联网的飞速发展，网络安全已经成为了一个越来越重要的问题。
近年来，恶意入侵事件不断发生，使得网络安全问题变得愈发复杂和难以解决。
针对网络系统中存在的各种漏洞和风险，如何设计和实现可靠有效的入侵检测系统，成为了当前网络安全领域最为关注的热点。
一、网络入侵检测系统基本原理网络入侵检测系统（Intrusion Detection System，IDS）是指一种使用软、硬件和操作系统等技术手段对网络流量、系统日志及用户行为等进行实时监控，自动检测和识别网络中的异常流量、行为和攻击的系统。
根据其检测方法的不同，IDS又可分为基于规则的入侵检测系统（Rule-based Intrusion Detection System，RIDS）、基于异常的入侵检测系统（Anomaly-based Intrusion Detection System，AIDS）和基于混合检测的入侵检测系统（Hybrid-based Intrusion Detection System，HIDS）。
1、基于规则的IDS基于规则的IDS采用特定的规则对网络流量进行分析和比对，一旦出现与规则相匹配的流量，就会发出警报。
由于规则的限制性较强，该类型IDS的检测能力相对较弱，很难检测出新颖的入侵行为，但对于已知的入侵行为表现较好。
2、基于异常的IDS基于异常的IDS依据日志或流量的特征进行学习，建立出正常流量和行为的模型，之后进行新流量和行为的检测。
该类型IDS能够检测出新型入侵行为，但也容易误报和漏报。
3、基于混合检测的IDS基于混合检测的IDS结合了基于规则和基于异常的两种检测方法，既能检测出已知的入侵行为，也能检测出新颖的入侵行为，相对于另外两种类型的IDS具有更好的准确性和可靠性。
二、网络入侵检测系统的设计与实现网络入侵检测系统的设计与实现需要考虑多方面的因素，如检测性能、安全性和可扩展性等。
手机病毒分析及智能手机杀毒软件设计
目录
01 一、手机病毒分析
02
二、智能手机杀毒软 件设计
03 三、技术实现
04 四、应用实践
05病毒和恶意软件也日益增多， 给用户带来极大的安全风险。本次演示将对手机病毒进行分析，并探讨智能手机 杀毒软件的设计与实现。
2、隐藏性强：手机病毒可以隐藏在普通应用程序、系统文件或蓝牙传输的 文件中，难以被用户发现。
3、危害严重：手机病毒可以窃取用户的个人信息、破坏手机系统、甚至传 播给其他手机用户。
4、更新迅速：手机病毒开发者会不断更新病毒以逃避杀毒软件的检测和查 杀。
二、智能手机杀毒软件设计
为了应对手机病毒的威胁，智能手机杀毒软件应运而生。智能手机杀毒软件 可以检测、清除手机病毒，并为用户提供安全防护。以下是智能手机杀毒软件设 计的关键点：
2、木马防范：木马是一种常见的恶意软件，通常伪装成正规应用程序。为 了防范木马，杀毒软件需要具备深度扫描和行为监控功能，能够实时监测和拦截 木马的行为。
3、系统修复：系统修复功能主要是修复手机的系统漏洞和异常。杀毒软件 可以通过分析系统的运行状态，发现并修复系统中的问题，提高系统的稳定性和 安全性。
感谢观看
1、实时监控：智能手机杀毒软件应实时监控手机应用程序和系统文件，一 旦发现异常行为立即进行拦截和查杀。
2、深度扫描：智能手机杀毒软件应具备深度扫描功能，能够检测和清除手 机中的病毒、木马等恶意程序。
3、云端数据库：智能手机杀毒软件应与云端数据库连接，实时更新病毒库 和恶意软件信息，以便及时检测和查杀新出现的病毒。
4、系统修复：智能手机杀毒软件应具备系统修复功能，能够在检测到系统 漏洞或异常时进行修复，提高手机系统的安全性。
基于图像识别的恶意代码检测系统设计与研究
基于图像识别的恶意代码检测系统设计与研究恶意代码是指那些设计用于攻击计算机系统的恶意软件，如病毒、木马、蠕虫等。
这些恶意代码常常对个人隐私、数据安全以及系统运行稳定性造成威胁。
为了防止恶意代码的传播和攻击，设计一个高效的恶意代码检测系统至关重要。
本文将介绍一种基于图像识别的恶意代码检测系统的设计与研究，以提高恶意代码检测的准确性和效率。
1. 引言恶意代码检测是计算机安全领域的关键问题之一。
在当前的环境下，恶意代码的形态十分复杂和变化多样，传统的基于特征匹配和行为分析的检测方法可能无法及时发现最新的恶意代码。
因此，采用图像识别技术可以更好地捕捉恶意代码的特征，提高恶意代码检测的准确性。
本文提出了一种基于图像识别的恶意代码检测系统，该系统通过将恶意代码的二进制文件转换为图像，并利用深度学习算法对图像进行分类和识别，从而检测出其中的恶意代码。
2. 恶意代码图像化为了实现基于图像识别的恶意代码检测，首先需要将恶意代码的二进制文件转换为图像。
本文采用了一种将二进制文件映射为灰度图像的方法。
将二进制文件中的字节数据转换为灰度值，并根据文件的大小和结构，将灰度值填充到相应的像素位置上。
通过这种方式，将每个恶意代码文件转换为一个图像，图像中的像素值可以反映文件中不同位置的特征。
3. 图像识别算法在将恶意代码转换为图像后，需要设计一个图像识别算法，将恶意代码与正常代码进行分类。
本文采用了深度学习算法中的卷积神经网络（CNN）作为图像分类器。
CNN具有良好的特征提取和分类能力，在计算机视觉领域取得了广泛的应用。
首先，将图像数据集分为训练集和测试集两部分。
选取足够数量的恶意代码图像和正常代码图像来构建训练集，并利用CNN对训练集进行训练，优化模型参数。
然后，使用测试集对训练好的模型进行验证和评估，计算准确率、召回率等指标，评估系统的性能。
4. 特征提取和选择在设计基于图像识别的恶意代码检测系统时，选择合适的特征至关重要。
基于行为分析的木马检测
这些行为与许多正常网络通信程序一致 ， 不适合 并 作 为 区分木 马 的行 为特征 。木马在 安装 阶段具 有显 著不 同于一 般正 常程 序 的行 为特 征 ， 容易 辨 别 。木 马行 为作 用 的主要 对 象是 木 马程 序 本身 ， 于获 取 易 木马程序的信息和定位木马， 并将其清除。也及早 保护 系统注册 表 ， 系统文件 等不被破 坏 ， 样避 免 了 这 清除木马的同时再对这些文件进行修复。 所在 目录 。 ３ １ 木 马在 安装 阶段的行 为特征 ． （） ５ 打开 的固定 的 Ｔ Ｐ Ｕ Ｐ端 口。 Ｃ／ Ｄ ２ ２ 基 于动态行 为特征 的木 马检 测 ． 木马安装有 ２ 个步骤： 隐藏木马程序和木马服 正在不断发展壮大的木马隐蔽技术使得木马在 务器 自启动设 置 ， 以便 木 马 服务 器 在计 算 机 每 次开 被植 入 的系统 中越来越难 以发 现 。基 于静态 特征 的 机或 者重启 时都 自动运行 。 木马行 为及行 为作用 的对象 归纳 如表 ｌ 示 。 所 木 马检测 技术检测 已知木 马 的各 种 隐蔽 和变化 能力 表 １ 木 马 安 装 阶段 行 为 特 征 已经 严重 不足 ， 且基本 无法应 对未知 的木 马 。 并 而基 于动态行 为分 析的木 马检测方 法控制 木马 的隐蔽 ， 意操作 ， 恶 植入 等行 为的所需要 的各 种资源
的通信， 带来信息邪路 ， 系统破坏等损失。另外 由于
新木 马及各 类木 马变 种 产 生 的速 度非 常 快 ， 征码 特 数量 也循迅 速增加 ， 用 这 种方 式 必然 需 要 非 常大 试
马启动后会在远程进程中创建一个线程将恶意操作 代码拷 贝到创 建 的远程线 程 中运行 。
的时间开销 ， 使得检测效率不断下降。 为克服 这些缺 陷 ， 究人 员 从 行 为 的角 度考 虑 研 应对 方法 ， 即行为分 析 ： 据程序 行为特 征判 断其是 根
基于行为分析的黑客攻击软件自动化分析工具的设计与实现
（Hale Waihona Puke ｅ ｉｇＵ ｉｅｓｔ Ｂ ｉｎ ０ ６ ０ Ｃ ｉａ ， ｋｎ ｎｖｒｉ， ｅ ｉｇ１ ２ ０ ， ｈｎ ； Ｐ ｙ ｊ
２Ｈｕａ Ｉｓｔ ｅｆ ｃ ｎｅ ｎ ｅｈｏ ｇ ｏ Ｍ ｔ ｍ ｔｓ ｕｙ ｎ Ｈ ｎ ｎ １０ ６Ｃ ｉ ） ． ｎｎ ｎｔｕ ｏ Ｓｉ ｃ ａｄＴｃｎｌ ｙ ｆ ａｈ ａ ｃ Ｙｅａｇ ｕａ ４４０， ｈｎ ｉｔ ｅ ｏ ｅ ｉ， ａ
ｏ ｔｔ ｅｌ ｔｔ ｎ ｆｓ ｔ ａｙ ｉ ｍｅｈ ｄ ｅ ｏ ｒ ｎ ｒ ． ｒ ｏ ｌ ｏ ｄ ｎ ｍｉ ｎ ｌｓｓ ａｗａ ｅ ｕ ， ｈ ｍｉ ｉ ｓｏ ａｉ ａ ｌｓｓ ｔ ｏ ｓｂ ｃ ｍｅ ｍｏ ｅ ａ ｄ ｍｏ ｅ Ｈｅ ｅｉ ａｔ ｏ ｙ ａ ｃ ａ ａｙ ｉ Ｍ ｌ ｒ ｉ ａｏ ｔ ｃｎ ｓ ｔ
Ａｂ ｔａｔ ｓ ｒ ｃ ：Ｓｔｔ ｎ ｌ ｉ ｎ ｙ ａ ｉ ｎａｙ ｉ ｒ ｈｅｔ ｏ ａｉ ａ ａｙｓｓａ ｄ ｄ ｎ ｍ ｃ ａ ｌ ｓｓａｅ ｔ ｗｏ ｃ ｍｍ ｏ ｎ ｌ ｉ ｔ ｄ ｎ ｍａｗ ａｅ ａ ｌｓｓ ｃ ｎ ａ ａｙｓｓｍｅｈｏ ｓｉ ｌ ｒ ｎａｙ ｉ． Ｗ ｉ ｈｅａ ｔ— ｅ ｕ ｉｇ， ｒ ｇ ａ ｐ ｃ ｒ ， ｏ ｅｏ ｕｓ ａｉｎ， ｏｙｍｏｒｈｉｍ ｎ ｒａ ｓｓ ｃ ｔｃ ｎｏｏ ｅ ｏ ｉｇ ｔ ｔ ｎ ｉｄ ｂ ｇｇｎ ｐ ｏ ｒ ｍ ａ ｋｅ ｓ ｃ ｄ ｂｆ ｃ ｔｏ ｐ ｌ ｈ ｐ ｓ ａ ｄｖａｉｎｔ ｕ ｈ ｅ ｈ ｌｇｉｓｃ ｍ ｎ
Ｃ ｄ ａｅ ｎｋ ｒｅ ｃ ｌ ａｋａ ｄＲ ｇ ｌ ｘ ｒ ｓ ｎ ， ｅ ｎ ｔ ｔ ｉＳ ａ ａ ｉ ｉ ｙ ｎ ｌｚ ｇｔ ｕａｋ ． ｓ ｏ ｅｂ ｓｄ ｅｎ ｌ ａｌ ｃ ｅｕａ Ｅ ｐｅ ｉ ｓｄ ｍｏ ｓ ａ ’ ｃｐ ｂｌ ｅ ｂ ａ ｉ ｅ ｊ ｃｓ Ａ ｏ ｂ ｎ ｒ ｓｏ ｒ ｅｔ ｉ ｓ ａ ｙ ｎ ｈＦ ｔ
移动恶意代码检测技术的研究与实现
移动恶意代码检测技术的研究与实现移动恶意代码的威胁不断增加，对用户手机和隐私的安全构成了巨大的威胁。
为了保护移动设备的安全，移动恶意代码检测技术成为了研究的热点。
本篇文章将介绍移动恶意代码的概念、移动恶意代码检测技术的研究方法和实现途径。
1. 移动恶意代码的概念移动恶意代码是指针对移动设备平台的病毒、木马、蠕虫等恶意软件，其目的是侵犯用户的隐私、窃取用户的敏感信息以及对设备进行破坏。
移动恶意代码通常通过应用程序、短信、网络下载等途径传播和感染。
2. 移动恶意代码检测技术的研究方法2.1 静态分析技术静态分析技术通过对应用程序的二进制代码进行静态扫描和分析，以检测恶意代码的存在。
这种方法可以检测出一些已知的恶意代码特征，但无法应对未知的恶意代码。
静态分析技术的优势在于效率高，但对于具有代码混淆和加壳等特征的恶意代码无法有效检测。
2.2 动态行为分析技术动态行为分析技术通过启动应用程序，并监控其运行过程中的行为特征，以识别恶意代码的存在。
这种方法可以发现一些未知的恶意行为，但需要消耗大量的系统资源，可能引起不必要的性能开销。
2.3 混合分析技术混合分析技术是指结合静态分析和动态行为分析两种方法进行移动恶意代码检测。
该方法充分利用了两种方法的优势，可以有效地检测恶意代码，同时减少了误报率和漏报率。
然而，该方法在实现上较为复杂，需要充分研究和优化算法。
3. 移动恶意代码检测技术的实现途径3.1 特征匹配方法特征匹配方法是指通过对已知的恶意代码样本进行特征提取，并与待检测样本进行匹配，以确定是否存在恶意代码。
该方法需要维护一个庞大的恶意代码特征库，并且对新出现的恶意代码无法有效应对。
3.2 机器学习方法机器学习方法是指利用机器学习算法，通过对已知的恶意代码样本进行训练，建立恶意代码的分类模型，以对待检测样本进行分类。
该方法可以解决特征匹配方法的不足，但需要大量的训练样本和精心设计的特征。
3.3 行为特征提取方法行为特征提取方法是指通过对应用程序运行过程中产生的行为数据进行提取，并建立恶意代码行为模型，以检测恶意代码的存在。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
基于行为分析的木马检测系统设计与实现
作者：张琦李梅
来源：《电子技术与软件工程》2016年第18期
摘要
随着近年来网络技术的飞速发展，安全问题日益突出，病毒、木马、后门程序等恶意代码层出不穷，重大经济损失事件及重要泄密事件频频发生。
传统的代码检查技术主要依靠特征码，静态分析等手段，对分析者的技术要求高，效率较低，难以实现批量检查。
针对这些缺点，本文提出一种基于行为分析的木马检测技术，通过记录应用程序的动态行为，综合恶意代码的API调用序列，功能性行为特征、隐藏性行为特征、Rootkit行为特征等作为判别依据，分析其恶意危害性；同时给出详细的分析报告及关键行为记录，方便对恶意代码的手动查杀及深入分析。
实验表明本文提出的检测方案能够有效地检测已知或未知的恶意代码，提高木马的检测准确率和检测效率，达到预期的研究目的。
【关键词】恶意代码行为分析行为特征
随着信息技术的飞速发展，计算机应用以及计算机网络己经成为当今社会中不可缺少的重要组成部分，对经济发展、国家安全、国民教育和现代管理都起着重要的作用。
但随着网络应用的增加，以计算机信息系统为犯罪对象和犯罪工具的各类犯罪活动不断出现。
网络安全风险也不断暴露出来，其中，利用木马技术入侵、控制和破坏网络信息系统，是造成信息安全问题的典型表现之一。
传统的恶意文件检测通常使用恶意程序特征值匹配的技术，即通过提取已经发现恶意程序的特征值（通常为恶意程序某一段的二进制文件或'汇编指令流），使用模式匹配的方式对恶意程序进行检测，这样做的好处是查杀准确，而且可以有效的将恶意程序进行定性，但是特征值需要获得并分析恶意文件样本，才可以得到，因此时间上有着滞后性为解决特征值查杀的滞后性。
如何能够快速、准确、简便的分析一个应用程序，成为了一种普遍的需求。
1 木马检测系统的设计与实现
1.1 系统设计
1.1.1 系统设计原则
系统总体设计需要满足未来的木马检测发展需要，既要安全可靠，又要具有一定的先进性。
在架构设计和功能模块的划分上，应充分的分析和整合项目的总体需求和预期的目标，尽量遵循高内聚、低耦合的设计原则，既要保证各个模块的独立性，也要保证模块间联系的简单性和易扩展性。
1.1.2 系统架构设计
根据虚拟化技术的快速发展，本文提出一种在虚拟机环境下通过记录可疑程序的真实性为判断恶意代码的检测系统，通过检测可疑程序的API调用序列，功能性行为特征、隐藏性行为特征、Rootkit行为特征，对可疑程序进行系统评分，实现对恶意代码的批量检测功能。
1.1.3 行为分析规则
根据对木马检测系统的分析需要，系统的监控内容主要分为以下5种：
（1）文件监控。
系统中文件的增加、删除、修改精确记录而已程序运行造成的文件系统的变化，包括恶意程序释放文件、修改系统文件、删除文件等等，让隐藏文件无处藏身。
（2）注册表监控。
注册表关键位置的变动记录恶意程序的注册表操作（例如，比较常见的创建启动项、修改注册表键值、破坏安全模式等等），让恶意程序的注册表操作一目了然。
（3）网络操作监控。
控制恶意程序的网络活动（发送数据、下载等）清晰展现盗号、后门、下载者等恶意程序的网络活动，并对这些网络活动进行协议解析、数据揭秘等。
（4）进程/线程监控。
实时检测恶意程序运行后的进程活动，精确识别恶意程序的进程/线程创建活动。
（5）驱动监控。
实时检测恶意程序运行后加载的各种驱动行为。
1.1.4 检测流程设计
为了保证检测的准确性，木马检测系统将检测过程分为2个步骤，杀毒检测任务和行为检测任务。
其行为检测任务流程设计如下图2。
1.2 系统试验效果
对大量木马型病毒的测试表明，本系统能准确识别出被检测程序在安装阶段、启动阶段和网络通信阶段所展示的网络通信行为、进（线）程行为、注册表行为、文件行为和驱动行为，无论对已知木马还是未知木马，基于木马行为判定算法所提交的检测结果较为准确，克服了“特征码扫描”有较高的漏报率和“完整性检测”有较高的误报率的缺点，检测时间也相对“机器学习方法”较短。
2 结束语
文本设计的基于行为分析的木马检测系统，在虚拟机中运行样本程序，并监控整个运行过程中，提供清晰的危险行为报告，使得各种隐匿行为无处藏身。
系统提供了一个自动化程度较
高的检测分析平台，克服了普通沙盘环境简单，指令集有限的问题，更有效地发现潜在恶意代码，提升了判断的准确率，为批量分析恶意代码提供了一个有效的检测方法。
参考文献
[1]江雪.基于VMware虚拟机的恶意程序仿真检测平台设计与实现[D].电子科技大学，2014（04）.
[2]王晓娣.基于虚拟机架构的恶意行为跟踪系统[D].华中科技大学，2013.
[3]中国航天科工集团第二研究院北京仿真中心[Z].基于虚拟化技术的仿真系统构建，2011（01）.
[4]张一弛，庞建民，范学斌，姚鑫磊.基于模型检测的程序恶意行为识别方法[J].计算机工程，2012（18）.。