內容簡介： 針對高級持續性威脅（Advanced Persistent Threat，APT）利用組件對象模型（Component Object Model，COM）接口進行行為混淆，導致傳統溯源方法難以有效追蹤的問題，提出了一種基于數據匹配的實時溯源系統COMLink。該系統利用COM調用中客戶端與服務器進程間數據交換的數據關聯特性，通過前綴相似度算法實現對敏感行為的線程級精確溯源。COMLink能夠跨進程追蹤COM調用鏈，即使在惡意軟件利用受信任進程執行惡意行為時也能有效溯源。實驗結果表明，COMLink在包含6個已知可利用COM接口的測試環境中，能夠以82%的準確率追蹤基于COM的攻擊行為，COMLink對系統性能的影響可忽略不計，性能損失小于2%，顯著提升了APT檢測和歸因能力。
