基于序列比對(duì)的Zero-day多態(tài)蠕蟲(chóng)特征自動(dòng)提取技術(shù).pdf

1、基于特征庫(kù)的安全防護(hù)系統(tǒng)(如IDS/IPS、防火墻等)是對(duì)抗網(wǎng)絡(luò)攻擊的主要手段,特征的質(zhì)量和數(shù)量決定這類系統(tǒng)的檢測(cè)性能。隨著多態(tài)技術(shù)的應(yīng)用,網(wǎng)絡(luò)蠕蟲(chóng)的感染能力大幅增強(qiáng),初始階段期間其繁殖速度近似指數(shù)增長(zhǎng)。因此,如何在蠕蟲(chóng)傳播的早期快速準(zhǔn)確地提取出特征是防御的關(guān)鍵。傳統(tǒng)依靠安全專家事后分析產(chǎn)生特征,對(duì)于新型攻擊和多態(tài)攻擊的檢測(cè)具有滯后性,難以保障系統(tǒng)安全。特征自動(dòng)提取技術(shù)無(wú)需人工干預(yù),能快速自動(dòng)的提取出攻擊特征,是網(wǎng)絡(luò)安全研究領(lǐng)域的熱點(diǎn)和

2、難點(diǎn),具有重要的學(xué)術(shù)價(jià)值和廣泛的應(yīng)用前景。本文借鑒生物序列比對(duì)的思想,從基于攻擊的特征自動(dòng)提取角度出發(fā),研究Zero-day多態(tài)蠕蟲(chóng)的特征自動(dòng)提取技術(shù)。主要工作如下:
　　 1.結(jié)合多態(tài)蠕蟲(chóng)的結(jié)構(gòu)特征,分析其保守片段特性；對(duì)現(xiàn)有特征自動(dòng)提取方法進(jìn)行了綜述,并比較分析各自的特點(diǎn)。
　　 2.研究面向特征提取的攻擊數(shù)據(jù)收集方法。精確的樣本數(shù)據(jù)是特征提取的前提和基礎(chǔ),本文從多態(tài)蠕蟲(chóng)的掃描特性出發(fā),采用基于白名單和IP地址離散熵

3、的方法對(duì)數(shù)據(jù)進(jìn)行過(guò)濾,并結(jié)合多態(tài)蠕蟲(chóng)結(jié)構(gòu)特點(diǎn),給出多態(tài)蠕蟲(chóng)數(shù)據(jù)流維度化表示方法和一種基于加權(quán)模糊聚類的攻擊分類方法,產(chǎn)生攻擊類用于后期特征提取。
　　 3.從生物信息學(xué)視角出發(fā),在對(duì)序列比對(duì)理論研究的基礎(chǔ)上,結(jié)合多態(tài)蠕蟲(chóng)自身的特點(diǎn),針對(duì)Needleman-Wunsch算法容易造成局部特征片段損失問(wèn)題,提出一種兩階段多序列比對(duì)算法TsMSA(Two-stage Multipie Sequence Alignment),用于Zero