沈承东 宋波敏

1海军计算技术研究所 北京 100841

2华中科技大学计算机学院 湖北 430074

0 前言

本文通过分析一些常见的检测方法，并通过分析其原理，来判断各种方法的优势和劣势。因为各种新型恶意代码的出现，在识别能力和处理量上，对于检测程序都有了新的要求。伴随着这些变化，一些更加智能化的检测手段相继出现。这些手段改进的一个主要目标，就在于将静态的比对方法，通过知识库中各个点间的相互联系，甚至自动的获取知识分析，来达到检测的目的。这些方法的出现，一方面是应对新型恶意代码的需要出现的，另一方面也是在各种资源成本与检测效益间的平衡中发展起来的。

1 特征码识别法

这是一种最常见的检测方法，它用恶意代码中特有的特征代码检测，这些字节序列是不太可能出现在正常文件中，通过查询比对即可以检测出一批恶意代码。比如依据如下原则：抽取的代码比较特殊，所以不大可能与普通正常程序代码吻合。抽取的代码要有适当长度，一方面保证特征代码的惟一性，另一方面又不要保证有太大的空间。

例如KMP算法的时间复杂度为 O( m+n ), 如果待检测的特征代码个数为k，而特征代码平均长度为M，待检测代码长度为N，则可以设系统资源消耗为Pay。

其最终的时间复杂度为 O( K·(M+N) )，

Pay=k(m+n)·α(α是一个稳定的系数，它与具体系统有关)。

可以看到，Pay(系统资源消耗)其随着特征代码量k的增加呈线性变化，其随着k的增长线性增长。这种检测方法它有一个弱点就是：现今随着恶意代码量呈指数级增长之势，如果要保证安全性，那么配套就需要庞大的特征库，这样就造成检测代码的工作量，伴随着特征库的增大随之放大。……