網(wǎng)絡(luò)蠕蟲(chóng)傳播模型及檢測(cè)技術(shù)研究.pdf

1、隨著信息技術(shù)飛速發(fā)展，網(wǎng)絡(luò)蠕蟲(chóng)對(duì)計(jì)算機(jī)系統(tǒng)安全和網(wǎng)絡(luò)安全的威脅也日益增加。多樣化的傳播策略和復(fù)雜的應(yīng)用環(huán)境使得網(wǎng)絡(luò)蠕蟲(chóng)具有發(fā)生頻率高，潛伏性強(qiáng)，覆蓋面廣的特點(diǎn)，蠕蟲(chóng)的爆發(fā)同時(shí)也會(huì)造成巨大的經(jīng)濟(jì)損失。然而，人們?nèi)匀粵](méi)有完全理解蠕蟲(chóng)的傳播行為，目前的網(wǎng)絡(luò)蠕蟲(chóng)檢測(cè)技術(shù)也總是滯后于網(wǎng)絡(luò)蠕蟲(chóng)的攻擊。
　　 本文對(duì)于網(wǎng)絡(luò)蠕蟲(chóng)的傳播模型以及檢測(cè)技術(shù)進(jìn)行了系統(tǒng)而深入的研究。在網(wǎng)絡(luò)蠕蟲(chóng)的傳播模型方面，對(duì)于良性蠕蟲(chóng)、郵件蠕蟲(chóng)以及綜合采用掃描蠕蟲(chóng)及郵

2、件蠕蟲(chóng)的攻擊策略的混合蠕蟲(chóng)的傳播進(jìn)行了建模；在網(wǎng)絡(luò)蠕蟲(chóng)的檢測(cè)領(lǐng)域，提出了基于熵的網(wǎng)絡(luò)蠕蟲(chóng)檢測(cè)方法、基于蠕蟲(chóng)行為蹤跡的特征自動(dòng)提取方法以及自適應(yīng)的分布式網(wǎng)絡(luò)蠕蟲(chóng)檢測(cè)方法。具體內(nèi)容如下：
　　 (1)提出了良性蠕蟲(chóng)的傳播模型。首先，對(duì)于良性蠕蟲(chóng)進(jìn)行了分類(lèi)研究。然后，在有延遲以及無(wú)延遲的情況下，推導(dǎo)了各類(lèi)良性蠕蟲(chóng)的傳播模型。最后，通過(guò)仿真試驗(yàn)驗(yàn)證了提出的傳播模型。良性蠕蟲(chóng)的傳播模型可以使得人們更好地理解以及預(yù)測(cè)良性蠕蟲(chóng)對(duì)抗蠕蟲(chóng)的速度以

3、及規(guī)模。
　　 (2)提出了郵件蠕蟲(chóng)以及混合蠕蟲(chóng)的離散傳播模型。由于傳染病模型不適用于郵件蠕蟲(chóng)建模，因此提出了郵件蠕蟲(chóng)的離散傳播模型。更進(jìn)一步，基于該模型建立了一種同時(shí)運(yùn)用郵件蠕蟲(chóng)以及掃描蠕蟲(chóng)攻擊策略的混合蠕蟲(chóng)的傳播模型。通過(guò)仿真試驗(yàn)驗(yàn)證了郵件蠕蟲(chóng)以及混合蠕蟲(chóng)的傳播模型。提出的郵件蠕蟲(chóng)的傳播模型不僅適合在電子郵件服務(wù)中傳播的蠕蟲(chóng)，同時(shí)還適合于在相似網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)傳播的拓?fù)淙湎x(chóng)，因此模型具有一般性。
　　 (3)提出了一種部

4、署在路由器上的基于熵的網(wǎng)絡(luò)蠕蟲(chóng)檢測(cè)方法。在訓(xùn)練階段，通過(guò)切比雪夫不等式計(jì)算網(wǎng)絡(luò)數(shù)據(jù)正常的熵值區(qū)間，并且同時(shí)使得該區(qū)間檢測(cè)網(wǎng)絡(luò)蠕蟲(chóng)的誤報(bào)率較低。在實(shí)時(shí)的網(wǎng)絡(luò)蠕蟲(chóng)檢測(cè)過(guò)程中，如果當(dāng)前的網(wǎng)絡(luò)數(shù)據(jù)熵不在正常的熵值區(qū)間內(nèi)，那么就對(duì)蠕蟲(chóng)進(jìn)行報(bào)警。實(shí)驗(yàn)結(jié)果表明提出的方法可以準(zhǔn)確高效地檢測(cè)網(wǎng)絡(luò)蠕蟲(chóng)。
　　 (4)提出了一種基于行為蹤跡分析的網(wǎng)絡(luò)蠕蟲(chóng)特征自動(dòng)提取的方法。首先，通過(guò)CUSUM算法檢測(cè)網(wǎng)絡(luò)中可疑的蠕蟲(chóng)流量。然后，在可疑的蠕蟲(chóng)流量中利用

5、時(shí)間關(guān)聯(lián)模型分析網(wǎng)絡(luò)蠕蟲(chóng)的行為蹤跡。最后，運(yùn)用評(píng)判函數(shù)確定提取蹤跡中網(wǎng)絡(luò)蠕蟲(chóng)的特征碼。設(shè)計(jì)并且實(shí)現(xiàn)了基于上述算法的原型系統(tǒng)。實(shí)驗(yàn)表明文中的方法可以準(zhǔn)確有效地提取網(wǎng)絡(luò)蠕蟲(chóng)的特征碼，并且得到如下結(jié)論：網(wǎng)絡(luò)蠕蟲(chóng)的行為蹤跡不能夠準(zhǔn)確地區(qū)分蠕蟲(chóng)的身份，但是它卻能幫助確定蠕蟲(chóng)的特征碼的位置，從而有效地提取蠕蟲(chóng)的特征碼。
　　 (5)提出了一種自適應(yīng)的分布式網(wǎng)絡(luò)蠕蟲(chóng)的檢測(cè)方法。系統(tǒng)的框架由蠕蟲(chóng)檢測(cè)代理和控制中心管理器組成。蠕蟲(chóng)檢測(cè)代理根據(jù)網(wǎng)絡(luò)