Linux下Ptrace()调用的安全分析

对Linux下的系统调用Ptrace()所拥有的进程跟踪和控制调试功能进行了分析;结合内核漏洞的具体实例研究其对系统可能造成的安全威胁;最后就病毒技术中的一项关键技术———隐藏,讨论了Ptrace()在Linux病毒隐藏技术中的应用。

人际语用视角下言语交际中的他者身份调用研究

语用身份可作为解读资源、施为资源、人际资源、阐释资源及评价资源来供会话者在交际中调用。作为语用身份之一的他者身份也不例外。研究从人际语用视角出发,探讨会话者将他者身份调用作为人际资源的实质和动机。研究发现,会话者调用他者身份作为人际资源有助于建构人际关系、进行人际情态表达或实施人际关系评价,而调用的动机为管理人际和谐关系。研究最后还尝试提出人际语用视角下会话者他者身份调用和人际和谐关系管理协同框架,以期为会话者管理人际和谐关系提供新的参考视角。

基于生成对抗网络的系统调用主机入侵检测技术

程序的系统调用信息是检测主机异常的重要数据,然而异常发生的次数相对较少,这使得收集到的系统调用数据往往存在数据不均衡的问题。较少的异常系统调用数据使得检测模型无法充分理解程序的异常行为模式,导致入侵检测的准确率较低、误报率较高。针对以上问题,提出了一种基于生成对抗网络的系统调用主机入侵检测方法,通过对异常系统调用数据的增强,缓解数据不平衡的问题。首先将程序的系统调用轨迹划分成固定长度的N-Gram序列,其次使用SeqGAN从异常数据的N-Gram序列中生成合成的N-Gram序列,生成的异常数据与原始数据集相结合,用于训练入侵检测模型。在一个主机系统调用数据集ADFA-LD及一个安卓系统调用数据集Drebin上进行了实验,所提方法的检测准确率分别为0.986和0.989,误报率分别为0.011和0,检测效果优于现有的基于混合神经网络的模型、WaveNet、Relaxed-SVM及RNN-VED的入侵检测研究方法。

基于用户系统调用序列的二进制代码识别

针对编译优化、跨编译器、混淆等带来的二进制代码相似性识别准确率低的问题,提出并实现了一种基于用户系统调用序列的识别方案UstraceDiff。首先,基于Intel Pin框架设计了一个动态分析插桩工具,动态提取二进制代码的用户系统调用序列及参数;其次,通过序列对齐获得被分析的2个二进制代码的系统调用序列的公有序列,并设计了一个有效参数表用于筛选出有效系统调用参数;最后,为评估二进制代码的相似性,提出一种算法利用公有序列及有效参数,计算它们的同源度。使用Coreutils数据集在4种不同的编译条件下对UstraceDiff进行了评估。实验结果表明,相较于Bindiff和DeepBinDiff,UstraceDiff对于同源程序识别的平均准确率分别提高了35.1个百分点和55.4个百分点,对于非同源程序的区分效果也更好。

基于系统调用序列的恶意软件检测技术

随着物联网(IoT)的发展,嵌入式设备数量呈指数式增长,针对Linux内核的多样化系统的恶意软件数量不断增加。对恶意软件的自动分析检测一直是研究的重难点,且集中在基于Windows平台的恶意软件,由于Linux嵌入式设备基于的CPU架构不同、风格多元,静态分析流程复杂,对自动化分析造成阻碍,目前对于Linux恶意软件技术的检测尚不成熟。该文借鉴计算机视觉领域的图像分类思想,相较于传统的静态分析、动态分析,神经网络具有良好的处理复杂信息的能力,胶囊网络模型是近年来具有优异性能的图像分类算法,且很好地应用于小型样本图像分类任务。以可以标识软件行为的Linux软件系统调用序列作为特征,将特征转化为图像,对胶囊网络进行训练,实现对Linux恶意软件检测的目的,在自行收集的恶意软件数据集上测试准确率达到0.9988。

针对系统调用的基于语义特征的多方面信息融合的主机异常检测框架

混淆攻击通过修改进程运行时产生的系统调用序列,可以在实现同等攻击效果的前提下,绕过主机安全防护机制的检测。现有的基于系统调用的主机异常检测方法不能对混淆攻击修改后的系统调用序列进行有效检测。针对此问题,提出了一种基于系统调用多方面语义信息融合的主机异常检测方法。从系统调用序列的多方面语义信息入手,通过系统调用语义信息抽象和系统调用语义特征提取充分挖掘系统调用序列的深层语义信息,利用多通道TextCNN实现多方面信息的融合以进行异常检测。系统调用语义抽象实现特定系统调用到其类型的映射,通过提取序列的抽象语义信息来屏蔽特定系统调用改变对检测效果的影响;系统调用语义特征提取利用注意力机制获取表征序列行为模式的关键语义特征。在ADFA-LD数据集上的实验结果表明,所提方法检测一般主机异常的误报率低于2.2%,F1分数达到0.980;检测混淆攻击的误报率低于2.8%,F1分数达到0.969,检测效果优于对比方法。

基于系统调用的主机异常检测研究综述

系统调用记录了进程活动过程中最精确原始的行为信号,通过对应用程序与操作系统交互产生的系统调用进行分析,可以对进程的异常行为进行有效鉴别,保障主机的安全运行。对基于系统调用的主机异常检测的研究现状进行了梳理。首先介绍了异常检测常用数据集,其次总结了系统调用数据预处理的典型方法,然后详细分析和对比了系统调用异常检测常用算法和模型,并介绍了异常检测常用的评估指标,最后对未来研究方向及相关挑战进行了展望。

面向小程序的函数调用图构建方法

小程序以弱类型的JavaScript语言作为开发语言,对弱类型语言数据流和控制流的分析是准确构建函数调用图的关键.但由于小程序框架代码闭源,现有工具无法分析出其框架代码和业务代码交互的数据流和控制流信息,使其无法准确构建出函数调用图.为此本文提出了融合指针分析和关系图谱的小程序函数调用图构建方法,该方法先对文档知识进行抽取和融合构建初始关系图谱模型,再通过对代码逻辑数据流的分析来完善关系图谱,最后利用关系图谱整合和挖掘出的交互信息来指导指针分析算法对小程序函数调用图进行构建.基于该方法本文实现了小程序静态分析工具MiniDroid,实验表明MiniDroid构建的小程序函数调用图准确性达到89%,与现有工具相比提升了39%.MiniDroid对敏感API检测准确率为92%,相比于前人检测方法提升了14%.

民主正当性视野下的检察官统一调用制度

在民主正当化链条理论的视野中,检察官统一调用制度具有鲜明的功能取向,其与“检察一体”原则的关联指向保证检察权的统一有效行使,因此可获得宪法功能与制度层面的正当性。在保证个案关联度的前提下,检察官统一调用并不构成实质上的任命,被调用检察人员的人事正当化链条保持存续,同时,地方人大及其常委会的地方性不能否定检察权及其分配的统一性和法定性,检察官由此可以跨院履职。但是,检察官统一调用对调出地与调入地检察机关的工作均可能产生影响,并由此影响两地检察机关与人大常委会的责任链条,因而调用一般需要获得两地检察机关及同级人大常委会的同意,避免民主问责的落空。通过遵循一定的调用条件,检察官统一调用将不会影响原有民主正当化水平。

网络热词在主流媒体传播中的调用机制分析——以《人民日报》为例

目的:新媒体时代,分析网络热词在主流媒体传播中的调用机制对舆论引导,推动我国话语建设具有重要意义。方法:文章采用文本分析法,对主流媒体《人民日报》的自媒体平台进行分析。结果:《人民日报》在对网络热词进行调用传播时,不可避免地存在一定的机制框架,会对网络热词进行一定的规范,依据时事热点创造网络热词,同时解构原有的网络热词,在强语境下对热词进行新意义的建构。结论:主流媒体调用网络热词能在一定程度上提高传播效率,有效引导舆论,甚至推动新闻思想的变革,但同时,其带来的“娱乐至死”现象也值得警惕。

基于DAO模式的网站开发数据库调用方法

为了提升网站开发数据库调用效率,提升数据库的安全性与应用效果,提出基于DAO模式的网站开发数据库调用方法。针对网站开发数据库各个应用层之间存在的耦合问题,将DAO模式设计到数据库应用程序中,达到降低程序耦合、减少数据库访问复杂性的目的;通过网站开发数据库的通信代价计算及并行化处理,完成网站开发数据库的任务调度分配,再采用粒子群算法对调度结果实行优化,以此提升网站开发数据库调用效率,实现网站开发数据库的调用。实验结果表明,通过对上述方法开展系统利用率测试、任务调度执行时间、数据库调用安全性测试,验证了上述方法的有效性。

基于静态逆向的工控软件函数调用获取技术

针对代码非开源的工控软件,论文提出了基于静态逆向分析的软件函数调用关系获取方法,为后续进行软件缺陷、后门和恶意代码检测提供分析依据。分为以下三个步骤:采用识别调用/跳转指令的方法提取程序的函数调用关系和调用次序,并将其可视化为函数调用图;将函数调用关系以总分表的结构形式进行存储,支持快速查找单个函数的调用关系分表,实现函数调用关系的存储备份;此外,采用关键词对函数列表进行筛选,并提取关键函数的函数调用关系,将全局函数调用关系图简化为关键函数调用关系图,以便降低内部函数调用的复杂程度对于逆向分析的影响,提高逆向分析的效率。实验结果表明,通过论文方法获得的函数调用关系较为准确和全面,可为基于逆向分析的后门和恶意代码检测提供较好的支撑。

异地异级调用检察官的有“限”性

异地异级调用检察官存在诸多限制。调用主体上,仅限于上级检察院调用下级检察院检察官。调用内容上,应限于检察行政事务,而不包括出庭公诉等内容。法理依据上,我国检察官的调用应首先契合检察机关检察权产生和负责的体制特殊性以及地方检察官任免的地域依附性。调用目的上,该行为有悖于刑事诉讼保障犯罪嫌疑人、被告人权益的理念,且易忽视检察机关自身法律监督的职能定位,欠缺正当性、合理性。

基于调用链建设统一监控系统的方法

随着云计算技术的迅速发展,大型系统不断被分解为多个自治小服务,系统复杂度显著提升。这种演进带来了监控对象数量的激增和故障排查难度加大的挑战。针对上述问题提出了一种基于调用链[1]构建统一监控系统的方法,设计了包括展示层、平台服务层、数据存储层和资源适配层的总体架构,旨在打通SaaS、PaaS和IaaS层的监控数据孤岛,建立各资源之间的联系。这一自上而下的统一监控体系极大地提高了故障排查效率。

企业人事档案管理的原则与调用制度建设研究

企业的发展过程离不开企业的工作人员,人是企业的必需因素,因此企业的人事档案相当重要。企业在对人才进行招聘、考核、调配、培训等环节形成的人员文件材料就是企业人事档案,它能够为企业选拔出更加合适的人才、对人才进行全面了解提供重要的帮助,是企业重要的档案资料。同时,随着国家各方面制度的不断完善,企业员工在维护自身合法权益的过程中,企业人事档案也具有重要的作用,因此对企业人事档案的管理工作十分关键。在管理人员对人事档案实施管理的过程中,需要遵循统一领导分级管理、维护档案的真实完整和安全、规范等原则,但是在实际的档案管理工作中,依然存在许多问题。尤其是在档案调用的过程中,容易出现丢失、遗漏、泄露等问题。因此,为了实现更加高质量的企业人事档案管理工作,需要加强档案调用制度建设工作,实现规范化的企业人事档案管理。本文将简要介绍实施企业人事档案管理工作的必须性,探讨企业人事档案管理的原则,并对当前企业人事档案管理中存在的问题进行分析,最后再提出一些加强建设企业人事档案管理调用制度的措施。

基于系统调用监控的主动反勒索技术研究

勒索软件作为网络安全问题中最重要的威胁之一,给企业组织造成了严重的安全威胁和经济损失。传统的勒索软件检测方法往往基于静态分析,只能检测和处理已知的勒索软件,具有一定的局限性。随着勒索软件变种层出不穷,新型勒索软件不断出现,传统网络安全解决方案存在明显的滞后性、被动性及低效性,因此需要探索积极主动的反勒索防御方法。本文针对真实恶意勒索软件,以系统调用为切入点,根据勒索软件与良性软件运行时系统调用序列存在差异的特征,使用基于多层感知机的机器学习方法,实现对恶意勒索软件的检测。最终试验结果显示模型在测试集上的准确率达到82%。实验结果表明,该方法在恶意勒索软件检测方面具有较高的准确率。

基于系统调用特征的入侵检测研究

对网络服务程序进行攻击是非法用户入侵系统的主要途径 ,针对关键程序的入侵检测近年来受到重视 .该文提出的CTBIDS检测模型在利用系统调用特征树描述程序行为特征的基础上 ,通过异常有限积累判别程序入侵 ,既能体现异常状况的长期积累 ,也能很好地反映入侵的异常局部性原理 .此外 ,该文通过统计分析方法确定入侵判别参数 ,使得入侵判别更加准确 .

基于系统调用分类的异常检测(英文)

提出了一种新的基于规则的异常检测模型.把系统调用按照功能和危险程度进行了分类,该模型只是针对每类中关键调用(即危险级别为1的系统调用).在学习过程中,动态地处理每个关键调用,而不是对静态的数据进行数据挖掘或统计,从而可以实现增量学习.同时通过预定义,精炼规则,有效地减少了规则数据库中的规则数目,缩减了检测过程中规则的匹配时间.实验结果清楚地表明,检测模型可以有效侦测出R2L,R2R和L2R型攻击,而且检测出的异常行为将被限制在相应的请求内而不是整个系统调用迹.检测模型适合于针对特权进程(特别是基于请求--反应型的特权进程)的异常入侵检测.

基于系统调用和齐次Markov链模型的程序行为异常检测

异常检测是目前入侵检测领域研究的热点内容.提出一种新的基于系统调用和Markov链模型的程序行为异常检测方法,该方法利用一阶齐次Markov链对主机系统中特权程序的正常行为进行建模,将Markov链的状态同特权程序运行时所产生的系统调用联系在一起,并引入一个附加状态;Markov链参数的计算中采用了各态历经性假设;在检测阶段,基于状态序列的出现概率对特权程序当前行为的异常程度进行分析,并根据Markov链状态的实际含义和程序行为的特点,提供了两种可选的判决方案.同现有的基于隐Markov模型和基于人工免疫原理的检测方法相比,提出的方法兼顾了计算成本和检测准确度,特别适用于在线检测.该方法已应用于实际入侵检测系统,并表现出良好的检测性能.

基于HMM的系统调用异常检测

我们利用隐马尔可夫模型来描述特权进程正常运行时局部系统调用之间存在的规律性 .具体方法是将UNIX特权程序的系统调用轨迹通过隐马尔可夫模型处理得到系统状态转移序列 ,再经滑窗后得到系统状态转移短序列 .初步的实验证明这样得到的系统状态转移短序列比TIDE方法提出的系统调用短序列能更加简洁和稳定地表示系统的正常状态 ,采用这种状态短序列建立的正常轮廓库比较小 ,而且对训练数据的不完整性不太敏感 .在同等的训练数据下 ,检测时本方法比TIDE方法的检测速度快 ,虚警率低 .