毕业设计离线研究原型
PyPI 软件包
动态行为检测实验
围绕 PyPI 开源软件包安装阶段的潜在恶意行为，在学长指导下完成项目全流程实现与离线实验：涵盖自动化动态执行采集、日志结构化解析、序列特征工程到 LSTM 深度学习分类与误报复盘。
- 01 / EXEC & CAPTURE动态采集
Docker 容器隔离执行，Falco 实时捕获系统调用与安全事件，strace 跟踪子进程树。
- 02 / FEATURE PIPELINE序列工程
解析结构化日志流，提取高维行为切片，统一处理长序列截断与短序列填充。
- 03 / MODEL & EVAL训练与复盘
PyTorch 构建单层 LSTM 序列分类器，深入分析假阳性误报与恶意逃逸成因。
监测入口
setup.py
安装期钩子行为
沙箱环境
Docker
非特权隔离容器
特征维度
707 维
事件类型与敏感路径
分类网络
LSTM
64 隐层 · Dropout 0.2
💡 动态行为检测的抗混淆思考
传统静态分析极易被 Base64 编码、代码混淆或动态字符串拼装绕过。在容器隔离沙箱中监控真实的系统调用（如网络反弹 Shell、读写敏感目录 ~/.ssh / /etc/passwd），能从更底层捕获攻击本质。但实验也表明，单纯依赖动态难以识别延迟休眠（Sleep）对抗或环境探测型恶意代码，动态与静态互补是未来更成熟的方向。