大規(guī)模網(wǎng)絡(luò)蠕蟲檢測(cè)與傳播抑制.pdf

1、隨著網(wǎng)絡(luò)應(yīng)用的擴(kuò)展，網(wǎng)絡(luò)安全受到的威脅日益嚴(yán)重，尤其是惡意代碼的泛濫對(duì)網(wǎng)絡(luò)和應(yīng)用造成了很大的破壞。在惡意代碼中，蠕蟲由于無(wú)需人的干預(yù)，能夠自動(dòng)傳播，因此造成的危害最大。如何有效地遏制蠕蟲在大規(guī)模網(wǎng)絡(luò)中的傳播成為非常迫切的問(wèn)題。
　　為了解決蠕蟲泛濫的問(wèn)題，必須研究有效的抑制蠕蟲在大規(guī)模網(wǎng)絡(luò)中傳播的手段。首先通過(guò)對(duì)蠕蟲傳播模型的理論分析，從中發(fā)現(xiàn)影響蠕蟲傳播的重要參數(shù)，本文認(rèn)為防御系統(tǒng)的布置與遏制時(shí)間是影響最終抑制蠕蟲傳播效果的最重

2、要的因素。在大規(guī)模網(wǎng)絡(luò)中，通過(guò)對(duì)網(wǎng)絡(luò)劃分縮小各子網(wǎng)規(guī)模，并采用自動(dòng)檢測(cè)來(lái)縮短遏制時(shí)間，建立大規(guī)模網(wǎng)絡(luò)蠕蟲防御系統(tǒng)，可以對(duì)蠕蟲進(jìn)行有效的遏制。本文研究的主要內(nèi)容包括以下四部分：
　　第一，在對(duì)蠕蟲的性質(zhì)進(jìn)行了討論和深入分析后，提出了分割網(wǎng)絡(luò)進(jìn)行蠕蟲傳播抑制的方法。通過(guò)對(duì)蠕蟲的傳播行為，尤其是隨機(jī)掃描階段進(jìn)行分析，可以發(fā)現(xiàn)蠕蟲傳播速度與網(wǎng)絡(luò)規(guī)模具有一定的關(guān)系。并以SEM(Simple Epidemic Model)模型為主要對(duì)象，對(duì)模

3、型進(jìn)行了深入研究，在此基礎(chǔ)上，提出了對(duì)網(wǎng)絡(luò)進(jìn)行分割以減小網(wǎng)絡(luò)規(guī)模，在劃分邊界上對(duì)蠕蟲進(jìn)行隔離，從而在大規(guī)模網(wǎng)絡(luò)上有效的抑制蠕蟲的傳播。本文建立了與規(guī)模相關(guān)的蠕蟲傳播模型，并討論了分割后子網(wǎng)的數(shù)目以及分割時(shí)間對(duì)蠕蟲傳播抑制的影響，為在大規(guī)模網(wǎng)絡(luò)中基于分割的蠕蟲傳播抑制提供了理論依據(jù)。
　　第二，由于時(shí)間、空間等各項(xiàng)約束會(huì)讓用戶在訪問(wèn)網(wǎng)絡(luò)時(shí)產(chǎn)生一定的用戶習(xí)慣，在習(xí)慣的作用下，用戶的訪問(wèn)目的地是較為集中和有限的。在蠕蟲爆發(fā)時(shí)，由于蠕蟲的

4、傳播會(huì)產(chǎn)生大量的陌生訪問(wèn)，從而破壞用戶的習(xí)慣。因而，對(duì)用戶的訪問(wèn)目的進(jìn)行統(tǒng)計(jì)分類，并建立用戶訪問(wèn)目的列表，則在蠕蟲發(fā)作時(shí)則能及時(shí)有效的發(fā)現(xiàn)蠕蟲。本文對(duì)用戶的訪問(wèn)行為進(jìn)行了分析，提出了一種對(duì)蠕蟲進(jìn)行早期發(fā)現(xiàn)的新方法，并且實(shí)現(xiàn)了一個(gè)基于用戶訪問(wèn)的蠕蟲檢測(cè)系統(tǒng)。實(shí)驗(yàn)證明該方法能夠有效快速的發(fā)現(xiàn)蠕蟲的傳播。由于用戶訪問(wèn)目的中存在的習(xí)慣是用戶習(xí)慣的一方面的體現(xiàn)，而用戶的習(xí)慣多種多樣，可以衍生出很多應(yīng)用模型，因此具有很強(qiáng)的指導(dǎo)意義。
　　第三

5、，蠕蟲由于快速的傳播而在網(wǎng)絡(luò)中造成了嚴(yán)重的危害，對(duì)蠕蟲進(jìn)行自動(dòng)的快速檢測(cè)是一項(xiàng)必需的研究。在入侵檢測(cè)系統(tǒng)常用的兩種檢測(cè)模式中，誤用檢測(cè)無(wú)法檢測(cè)到新蠕蟲的出現(xiàn)，而異常檢測(cè)存在效率低，誤報(bào)高的缺點(diǎn)。本文結(jié)合了誤用檢測(cè)與異常檢測(cè)的優(yōu)點(diǎn)，提出了蠕蟲自動(dòng)檢測(cè)的新途徑，研究了在大規(guī)模網(wǎng)絡(luò)中，利用異常發(fā)現(xiàn)模塊從網(wǎng)絡(luò)中發(fā)現(xiàn)異常數(shù)據(jù)集，然后自動(dòng)進(jìn)行特征提取，進(jìn)而將特征更新到特征檢測(cè)的特征庫(kù)中進(jìn)行特征檢測(cè)的方法，實(shí)現(xiàn)對(duì)未知蠕蟲的檢測(cè)。這種方法能夠快速的發(fā)現(xiàn)

6、新的疫情，并作為蠕蟲自動(dòng)防御的基礎(chǔ)。
　　第四，為了完成在大規(guī)模網(wǎng)絡(luò)中防御蠕蟲的任務(wù)，必須建立有效的對(duì)抗體系。本文系統(tǒng)的特征檢測(cè)、異常檢測(cè)、分析控制、組織協(xié)作等功能分離開來(lái)，降低系統(tǒng)實(shí)現(xiàn)復(fù)雜性，并在對(duì)系統(tǒng)的功能分解與重組的基礎(chǔ)上，以Agent為基本的模塊單位，在大規(guī)模網(wǎng)絡(luò)中進(jìn)行自治的檢測(cè)，同時(shí)能夠互相協(xié)作。在分析和參考了現(xiàn)有分布式入侵檢測(cè)系統(tǒng)拓?fù)浣Y(jié)構(gòu)的基礎(chǔ)上，建立了層次式大規(guī)模網(wǎng)絡(luò)蠕蟲防御系統(tǒng)，并按照大規(guī)模網(wǎng)絡(luò)中蠕蟲防御任務(wù)的需求