基于MMTD的病毒特征代碼檢測算法

朱俚治

（南京航空航天大學(xué)信息中心 江蘇 210016）

0 引言

當今病毒檢測算法是多種多樣的。在這些眾多的病毒檢測算法中病毒特征代碼檢測算法出現(xiàn)的最早。但是目前病毒檢測算法只能根據(jù)已知的病毒特征來進行病毒特征匹配，并且當今的病毒特征匹配算法是一種靜態(tài)的病毒檢測算法。因此為了進一步增強病毒特征匹配算法對病毒檢測時的智能性，病毒的研究人員必須在病毒特征代碼檢測算法中融入某些智能性病毒檢測算法。

在當今的計算機技術(shù)中，模擬退火算法是一種智能性的算法。該算法在檢測病毒上進行應(yīng)用，將有助于提高檢測算法的智能性。因此本文將模擬退火算法在病毒特征代碼檢測方法進行應(yīng)用，該算法有助于提高病毒特征代碼在檢測病毒識時的智能性。本文中將中介的思想和方法應(yīng)用在病毒特征代碼的檢測算法之中。MMTD算法是一種中介思想的應(yīng)用算法，該算法在病毒特征代碼算法上的應(yīng)用檢測，這將進一步提高病毒特征碼代碼檢測算法對病毒檢測時的智能性。

1 MMTD算法技術(shù)簡介

1.1 中介真值程度度量知識簡介

中介邏輯將事物的屬性描述成三種狀態(tài)，事物屬性的兩個對立面和對立面的中間過渡狀態(tài)。在中介真值程度度量方法中，提出了事物超態(tài)屬性概念，該方法符合中介思想事物的屬性并且被劃分為五種狀態(tài)：事物的兩個對立面，對立面的中間過渡狀態(tài)和事物超態(tài)對立面[1-2]。這里用符號表示為 ～P，P與╕P，超態(tài)+p與超態(tài) ╕+p。現(xiàn)用數(shù)軸將以上的描述的概念表達如下[1-2]：

對數(shù)軸y=f(x)表示的含義有以下說明[1-2]：

數(shù)軸上用符號P與╕P分別表示事物對立面的兩個屬性，符號P～ 表示反對對立面的中間過渡狀態(tài)達事物的屬性。

①如果數(shù)軸上數(shù)值點的位置逐步接近P，則事物 A所具有P的屬性逐步增強

②如果該數(shù)值點的位置落在真值P╕和P的取范圍之間，則事物A的屬性就部分地具有P╕的屬性，同時又部分地具有P的屬性。

③如果數(shù)軸上數(shù)值點的位置逐步接近P╕，則事物A所具有P╕的屬性逐步增強。

⑵中介真值程度度量中的距離比率函數(shù)

在中介真值程度度量的方法中，數(shù)軸上某數(shù)值點通過距離比率函數(shù)來計算事物所具有屬性的強弱。

定理 1 給定y= f（x）∈f（X），ξ（h（y））=h（y），則有[1-2]

（1）當αF+εF

（2）當y>αT +εT時，gT（x）>1；當y<αF -εF時，gF（x）>1；

（3）當y<αF -εF時，gT（x）<0；當y>αT +εT時，gF（x）<0；

（4）gT（x）+ gF（x）=1.

①相對于P的距離比率函數(shù)[1-2]

②相對于P╕的距離比率函數(shù)[1-2]

2 退火算法簡介

模擬退火算法的基本思想是，從一個初始解出發(fā)，不斷重復(fù)迭代產(chǎn)生新解，對新解進行斷定，舍棄，最終取得令人滿意的全局最優(yōu)解[3]。

模擬退火算法的數(shù)學(xué)模型由解空間、目標函數(shù)、和初始解三部分組成[3]。

模擬退火算法的解空間為關(guān)于一個問題所有可能的解的集合，它限定了初始解選取的范圍和新解產(chǎn)生的范圍[3]。

目標函數(shù)是對問題的優(yōu)化目標的數(shù)學(xué)描述，通常表述為若干優(yōu)化目標的一個和式[3]。

初始解是算法開始迭代的起點。初始解得選取應(yīng)使得算法導(dǎo)出較好的最終解[3]。

3 病毒傳染機理和病毒傳染模塊

3.1 病毒的傳染模塊

病毒由多種模塊組成，而傳染模塊是病毒的最重要的模塊，如果某種程序不具備的復(fù)制和寄生的功能，那么這種程序就不是病毒。病毒的傳染模塊中的子模塊具有如下的功能：①傳染條件判斷模塊，②傳染模塊，③病毒復(fù)制模塊等這些模塊，在這些模塊中每個模塊都有自身的屬性。在傳染模塊中這些子模塊在功能是緊密的相互聯(lián)系在一起，卻少了一個子模塊則病毒就無法實現(xiàn)其完整的功能。由于 Deng等人總結(jié)的病毒特點清晰地表明，多個特征并存才可以用來標識一個病毒，而非只采用一個病毒特征[4-6]。因此，根據(jù)上述理由在本文采用已知文件型病毒傳染模塊的屬性作為病毒檢測算法時的準則和依據(jù)。

3.2 病毒的感染標識代碼

病毒的傳染模塊有若干子模塊組成，病毒的傳染條件判斷模塊是病毒重要模塊之一。病毒的傳染條件判斷模塊的功能是：在被寄生的程序中標識上具有判斷該種病毒的代碼，該代碼被稱為病毒的感染標記。病毒的感染標記可以代表著某種病毒，該標識代碼就是病毒的名字。由于病毒的感染標記是病毒傳染條件判斷的標識符號代碼，不同病毒的感染標識的代碼是不同的，因此病毒感染標記的屬性是有所差別。病毒尋找符合感染條件的程序是病毒傳染自身代碼的第一步。病毒通過感染標記來標識已被寄生的程序，以此來作為病毒傳染條件判斷條件和依據(jù)。每種病毒的感染標識是病毒的傳染的重要條件，該程序代碼具有的屬性病毒的重要屬性。這個感染標記包含著病毒的某些屬性：病毒的類型，符合感染條件程序的類型等等。如果某些程序符合某種病毒的感染條件，病毒就會寄生于該程序中。

病毒尋找符合感染條件的程序是病毒傳染自身代碼的第一步。病毒通過感染標記來標識已被寄生的程序，以此來作為病毒傳染條件判斷條件和依據(jù)。每種病毒的感染標識是病毒的傳染的重要條件，該程序代碼具有的屬性病毒的重要屬性。這個感染標記包含著病毒的某些屬性：病毒的類型，符合感染條件程序的類型等等。如果某些程序符合某種病毒的感染條件，病毒就會寄生于該程序中。病毒在特征代碼的選取中，是多種多樣的。不同病毒的感染標記是不同的，因此人們選取病毒的特征碼時常常以病毒的感染標記為該病毒的特征碼，因此在本文以病毒的感染標記做為病毒的特征碼。

MMTD算法在病毒特征代碼檢測算法那上進行應(yīng)用能夠近一步提高殺毒軟件對惡意程序檢測時的智能性。模擬退火算法同樣也是一種智能性的算法，因此本文將這兩種智能算法結(jié)合到一處，提出了一種具有一定智能性病毒特征碼檢測算法。該算法能增強病毒檢測算法對病毒的識別的能力，帶一定程度上能夠增強對具有有變形能力病毒的檢測能力。該算法在理論上是可行，但該算法是否有效還需要在實際應(yīng)用中得到檢驗和證明。

[1]朱梧槚，肖奚安.數(shù)學(xué)基礎(chǔ)與模糊數(shù)學(xué)基礎(chǔ)[J].自然雜志.7（1980）：723-726.

[2]梁旭，黃明著.現(xiàn)代智能優(yōu)化混合算法及其應(yīng)用.電子工業(yè)出版社2012年4月.

[3]慈慶玉.計算機變形病毒探討[J].中國數(shù)據(jù)通信20051：37-40.