Luận án Tiếp cận máy học và hệ chuyên gia để nhận dạng và phát hiện virus máy tính

- vi - DANH MỤC BẢNG BIỂU Stt Bảng Mô tả Trang 1 2.1 Phân loại virus máy tính theo kiểu dữ liệu ............................................8 2 2.2 Lịch trình cập nhật của Kaspersky Lab (1995-2004) ............................9 3 2.3 Khảo sát tiếp cận hệ chuyên gia nhận dạng virus máy tính ................27 4 3.1 Các lớp virus cơ bản ............................................................................31 5 3.2 Kết quả thực nghiệm bài toán chẩn đoán lớp virus C-class ................34 6 3.3 Kết quả thực nghiệm bài toán chẩn đoán lớp virus D-class ................39 7 3.4 Kết quả thực nghiệm bài toán chẩn đoán lớp virus B-class ................44 8 3.5 Các luật cơ bản chẩn đoán file virus lạ................................................46 9 3.6 Thời gian chạy của các hệ AV thử nghiệm trên cùng tập mẫu ...........51 10 3.7 Kết quả thực nghiệm bài toán chẩn đoán lớp virus E-class.................52 11 3.8 Các nhóm virus trong CSDL và mẫu dữ liệu chẩn đoán.....................57 12 3.9 Số liệu tính toán trên ví dụ mẫu bài toán A-class................................58 13 3.10 Kết quả thực nghiệm bài toán chẩn đoán lớp virus A-class ................59 14 4.1 Trích chọn dữ liệu đặc trưng từ các định dạng cơ bản ........................66 15 4.2 Ví dụ cơ sở dữ liệu virus mẫu..............................................................69 16 4.3 Tính toán số lần ACV duyệt nút trên V-Tree ......................................72 17 4.4 CSDL chứa 9 thành viên họ virus Family.x.vir...................................86 18 4.5 Kết quả hợp nhất dữ liệu trên CSDL virus..........................................88 19 4.6 Kết quả nhận dạng virus của các hệ AV thử nghiệm ..........................89 20 4.7 Kết quả dự báo virus của MAV khi thay đổi λ ...................................90 21 4.8 Đánh giá hiệu quả nhận dạng virus của MAV ....................................91 22 4.9 Kết quả thực nghiệm chất lượng các hệ anti-virus ..............................92 23 4.10 Kết quả thực nghiệm tốc độ các hệ anti-virus .....................................94 - vii - DANH MỤC HÌNH ẢNH stt Hình Mô tả Trang 1 2.1 Biểu đồ so sánh tỷ lệ phân bố các lớp virus máy tính ...........................8 2 2.2 Biểu đồ tăng trưởng các lớp virus máy tính ........................................10 3 2.3 Mô hình tổng quát của một hệ chuyên gia...........................................19 4 2.4 Tiến trình khám phá tri thức ................................................................21 5 3.1 Thuật toán chẩn đoán lớp C-class........................................................33 6 3.2 Phân loại tư liệu MSOffice ..................................................................35 7 3.3 Không gian chẩn đoán dữ liệu lớp D-class..........................................36 8 3.4 Thuật toán trích chọn tập hành vi chẩn đoán lớp D-class....................37 9 3.5 Cây chỉ thị nhị phân tìm kiếm..............................................................43 10 3.6 Hàm bổ sung tri thức ...........................................................................44 11 3.7 Mô hình quan hệ cơ sở dữ liệu VerifyDB ............................................47 12 3.8 Lưu đồ chẩn đoán đối tượng E-class ...................................................48 13 3.9 Biểu đồ so sánh chi phí thời gian của các AV thử nghiệm..................51 14 3.10 Ma trận từ-tài liệu của CSDL virus mẫu .............................................58 15 4.1 Mô hình tổng quát của hệ MAV..........................................................63 16 4.2 Hai phương pháp phân cụm.................................................................67 17 4.3 Ma trận dữ liệu.....................................................................................67 18 4.4 Thuật toán ACV phân cụm CSDL virus bằng V-tree..........................68 19 4.5 Cây V-Tree sau khi duyệt 2 mẫu tin....................................................70 20 4.6 Cây V-Tree sau khi duyệt 3 mẫu tin....................................................70 21 4.7 Kết quả phân cụm CSDL virus bằng V-Tree ......................................71 22 4.8 Thuật toán ARCRD rút luật phân cụm trực tiếp trên CSDL ...............75 23 4.9 Mô hình giai đoạn Xử lý dữ liệu của hệ MAV....................................77 - viii - stt Hình Mô tả Trang 24 4.10 Tiến trình xử lý của giai đoạn Xử lý dữ liệu .......................................77 25 4.11 Lưu đồ xử lý của giai đoạn Xử lý dữ liệu............................................78 26 4.12 Chiến lược phân loại dữ liệu chẩn đoán ..............................................79 27 4.13 Thuật toán ASMCR so khớp luật phân nhóm trên tập Ruleset ...........82 28 4.14 Mô hình hợp nhất dữ liệu.....................................................................84 29 4.15 Biểu đồ mã lệnh của virus Klez.worm.W32........................................85 30 4.16 Đối tượng chẩn đoán ObjectX qua các giai đoạn của DF2RV............88 31 4.17 So sánh kết quả nhận dạng của các hệ AV thử nghiệm.......................89 32 4.18 Thử nghiệm chất lượng các hệ anti-virus ............................................93 33 4.19 Thử nghiệm tốc độ của các hệ anti-virus.............................................94 - ix - KÝ HIỆU VÀ VIẾT TẮT DANH MỤC CÁC KÝ HIỆU SỬ DỤNG TRONG ĐỀ TÀI Ký hiệu Thuật ngữ Ý nghĩa Ghi chú A-class Stand Alone program virus class Lớp virus/malware có định dạng ứng dụng độc lập Ký hiệu của đề tài Adware Advertising software Phần mềm quảng cáo aObject Diagnosed A-class Object Đối tượng chẩn đoán lớp virus A- class Ký hiệu của đề tài Backdoor Trojan horse backdoor Nội ứng cửa hậu B-class Boot virus Class Lớp virus lây vào mẫu tin khởi động Ký hiệu của đề tài bObject Diagnosed B-class Object Đối tượng chẩn đoán lớp virus B- class Ký hiệu của đề tài B-virus Boot virus Loại virus lây vào mẫu tin khởi động B-Tree Balanced Tree data structure Cấu trúc dữ liệu cây cân bằng C-class 7-bit ASCII virus class Lớp virus lây vào tập dữ liệu ASCII 7 bit Ký hiệu của đề tài cObject Diagnosed C-class Object Đối tượng chẩn đoán lớp virus C- class Ký hiệu của đề tài D-class Document macro virus Class Lớp virus lây vào tư liệu MS Office Ký hiệu của đề tài dObject Diagnosed D-class Object Đối tượng chẩn đoán lớp virus D- class Ký hiệu của đề tài Dropper Trojan horse dropper Mã độc kết xuất ra bộ nhớ ngoài E-class Executable file virus Class Lớp virus lây vào tập tin thi hành Ký hiệu của đề tài eObject Diagnosed E-class Object Đối tượng chẩn đoán lớp virus E- class Ký hiệu của đề tài - x - Ký hiệu Thuật ngữ Ý nghĩa Ghi chú F-virus File virus Loại virus máy tính lây vào tập tin thi hành Filehooker File access hooker Công cụ thám báo truy nhập tập tin Germs Trojan horse ancestor Mầm độc Hacker Hacker, cracker Tin tặc, người đục phá hệ thống Hacktool Hacker’s toolkit Công cụ đục phá hệ thống Header File header Cấu trúc đầu tập tin ID-virus Virus Identity signature Mã nhận dạng virus Injector Trojan horse injector Mã độc kết nhập vào bộ nhớ trong Intruder Intruder worm Sâu trình lang thang Kernel32 Windows32’s system core Hạt nhân hệ thống của Windows 32 Keylogger Keylogger toolkit Công cụ thám báo bàn phím Macro Macro virus Loại virus lây vào tư liệu MS Office Malicious Malicious, harmful code Các đoạn mã thi hành độc hại, nguy hiểm Malware Malicious software Phần mềm độc hại MSOffice Microsoft Office package Bộ ứng dụng văn phòng của Microsoft NULL NULL data Dữ liệu trống (dữ liệu rỗng) Pornware Pornware, Sexualware Phần mềm đồi trụy Riskware Riskware Phần mềm rủi ro Rootkit Hacker’s toolkit Công cụ đục phá hệ thống R-Tree Rectangles Tree data structure Cấu trúc dữ liệu cây chữ nhật - xi - Ký hiệu Thuật ngữ Ý nghĩa Ghi chú RS1 The ruleset of instant knowledge Tập luật đặc tả kiến thức tức thời Ký hiệu, thuật ngữ của đề tài RS2 The ruleset of permanent knowledge Tập luật đặc tả kiến thức dài lâu Ký hiệu, thuật ngữ của đề tài Sniffer Data packet sniffer Bộ thám báo gói dữ liệu Spyware Spy software Phần mềm gián điệp Template MSOffice template Khuôn dạng mẫu MSOffice Trojan Trojan horse Nội ứng ‘ngựa gỗ’ Virus Computer viruses Virus máy tính V-Tree Value Tree data structure Cấu trúc dữ liệu cây giá trị VxD Virtual Device Driver Bộ điều khiển thiết bị ảo Win32 Windows 32 bit Họ hệ điều hành Microsoft Windows 32 bit Worm Computer worm Sâu trình máy tính Zombie Zombie computer in botnet Hệ thống bị lợi dụng làm trạm trung chuyển trong mạng lưới tấn công - xii - DANH MỤC CÁC TỪ VIẾT TẮT SỬ DỤNG TRONG ĐỀ TÀI Từ viết tắt Thay cho cụm từ Ý nghĩa Ghi chú ACV Algorithm of Clustering by V-Tree Thuật toán phân cụm dữ liệu sử dụng V-Tree Ký hiệu của đề tài AMKBD Association Model of Knowledge Base and Database Mô hình kết hợp cơ sở dữ liệu và cơ sở tri thức Ký hiệu của đề tài ASMCR Algorithm to Search for a Member Clustering rule from Ruleset Thuật toán tìm kiếm luật phân cụm trên tập Ruleset Ký hiệu của đề tài ARCRD Algorithm to Retrieve Clustering Rules from Database Thuật toán rút luật phân cụm từ cơ sở dữ liệu Ký hiệu của đề tài ASCII American Standard Code for Information Interchange Bộ mã tiêu chuẩn Mỹ dùng trao đổi thông tin ASM AsSeMbly source files Tập chương trình nguồn hợp ngữ AV Anti-Virus Hệ phòng chống virus máy tính AX Accumulate register Thanh ghi tích lũy BAT BATch files Tập tin lệnh theo lô BP Base Pointer register Thanh ghi con trỏ cơ sở BX Base register Thanh ghi cơ sở CD-ROM Compact Disk ROM Đĩa quang học chỉ đọc CNTT Công Nghệ Thông Tin Information Technology COM COMmand files Tập tin lệnh CPL Control Panel Applet Tập tin ứng dụng Control Panel CPU Central Processing Unit Đơn vị xử lý trung tâm CRLF CaRriage – Line Feed Ký tự xuống dòng CS Code Segment register Thanh ghi đoạn lệnh - xiii - Từ viết tắt Thay cho cụm từ Ý nghĩa Ghi chú CSDL Cơ Sở Dữ Liệu Database CSTT Cơ Sở Tri Thức Knowledge base CX Counter register Thanh ghi đếm DF2RV Data Fusion to Recall Values Hợp nhất dữ liệu để khôi phục giá trị Ký hiệu của đề tài DLL Dynamic Link Library Thư viện liên kết động DNS Domain Name Service Dịch vụ tên miền DOC DOCument files Tập tin tư liệu văn bản DOT DOcument Template Khuôn dạng tư liệu văn bản DS Data Segment register Thanh ghi đoạn dữ liệu DVD Digital Versatile Disk Đĩa kỹ thuật số đa năng DX Data register Thanh ghi dữ liệu ES Extra Segment register Thanh ghi đoạn bổ sung EXE EXEcutable files Tập tin thi hành FD Floppy Disk Đĩa mềm FIFO First In – First Out Cơ chế xử lý vào trước – ra trước FTP File Transfer Protocol Giao thức truyền tập tin HD Hard Disk Đĩa cứng HĐH Hệ Điều Hành Operating system HTA HyperText Application Tập ứng dụng siêu văn bản HTML HyperText Markup Language Ngôn ngữ đánh dấu siêu văn bản HTT HyperTexT files Tập tin siêu văn bản HTTP HyperText Transfer Protocol Giao thức truyền siêu văn bản IBM International Business Machine Corporation Hãng IBM - xiv - Từ viết tắt Thay cho cụm từ Ý nghĩa Ghi chú IBM-PC IBM compatible Personal Computer Máy tính cá nhân tương thích IBM INI INItializing files Tập tin khởi tạo IP Instruction Pointer Điểm vào lệnh tập thi hành IRC Internet Relay Chat Tiếp âm đàm thoại Internet ISS Internet Security System Hệ thống An ninh Internet JS Java Script files Tập chương trình nguồn Java script KDD Knowledge Discovery from Database Hệ Khám phá tri thức từ cơ sở dữ liệu KGVT Không Gian Véc Tơ Vector space LAN Local Area Network Mạng cục bộ LE-EXE LinEar EXEcutable files Tập tin thực thi tuyến tính LIFO Last In - First Out Cơ chế xử lý vào sau-ra trước MAVCL MAV CLient module Phân hệ MAV trên máy trạm Ký hiệu của đề tài MAVES, MAV Machine Learning Approach to Anti- Virus Expert System Hệ phòng chống virus máy tính hướng tiếp cận máy học và hệ chuyên gia Ký hiệu của đề tài MAVSR MAV ServeR module Phân hệ MAV trên máy chủ Ký hiệu của đề tài MSDOS Microsoft Disk Operating System Hệ điều hành MSDOS MTKĐ Mẫu Tin Khởi Động Boot record MZ Mark Zbikowski signature Ký hiệu nhận dạng tập tin thi hành NE-EXE NEw EXEcutable files Tập tin thi hành Windows 16 bit NNLT Ngôn Ngữ Lập Trình Programming Language - xv - Từ viết tắt Thay cho cụm từ Ý nghĩa Ghi chú NNSRM Nearest Neighbor Rule-based Structural Risk Minimization Cực tiểu rủi ro cấu trúc dựa vào luật láng giềng gần nhất OCX OLE Control eXtension Điều khiển đối tượng liên kết nhúng OLE Object Linking and Embedding Đối tượng liên kết nhúng PAS PAScal source files Tập chương trình nguồn Pascal PE-EXE PortablE EXEcutable files Tập tin thi hành Windows 32 bit POST Power On Self Test Tự kiểm tra khi khởi động POT PowerpOint Template files Tập khuôn dạng trình diễn PowerPoint PPA PowerPoint template Add-in files Tập khuôn dạng trình diễn PowerPoint gắn thêm PPT PowerPoinT files Tập tin trình diễn PowerPoint R2LTA Root-to-Leaf Traverse Algorithm Thuật giải duyệt đường đi từ gốc đến lá trên cấu trúc dữ liệu cây Ký hiệu của đề tài RAM Random Access Memory Bộ nhớ truy nhập ngẫu nhiên REG REGistry files Tập tin đăng ký hệ thống ROM Read Only Memory Bộ nhớ chỉ đọc ROM- BIOS ROM Basic Input Output System Hệ nhập xuất ROM cơ sở SCR SCReen saver files Tập tin bảo vệ màn hình SID Searching - Inferring - Diagnosing Tìm kiếm - Suy diễn - Chẩn đoán Ký hiệu của đề tài SP Stack Pointer register Thanh ghi con trỏ ngăn xếp SS Stack Segment register Thanh ghi đoạn ngăn xếp - xvi - Từ viết tắt Thay cho cụm từ Ý nghĩa Ghi chú SYS SYStem files Tập tin hệ thống TF-IDF Term Frequency – Inverse Document Frequency Tần suất từ - tần suất tài liệu nghịch đảo VAA Virus Autoprotect Agent Tác tử Canh phòng virus Ký hiệu của đề tài VBA Visual Basic Application Ứng dụng Visual Basic VBS Visual Basic Script Tập chương trình VB script VSA Virus Scanning Agent Tác tử Duyệt quét virus Ký hiệu của đề tài XLA EXceL worksheet Add-in Tập tin khuôn dạng Excel gắn thêm XLS EXcel workSheet files Tập tin bảng tính Excel XLT EXcel Template files Tập khuôn dạng bảng tính Excel