網(wǎng)絡蠕蟲傳播模型及檢測技術研究.pdf

1、隨著信息技術飛速發(fā)展，網(wǎng)絡蠕蟲對計算機系統(tǒng)安全和網(wǎng)絡安全的威脅也日益增加。多樣化的傳播策略和復雜的應用環(huán)境使得網(wǎng)絡蠕蟲具有發(fā)生頻率高，潛伏性強，覆蓋面廣的特點，蠕蟲的爆發(fā)同時也會造成巨大的經(jīng)濟損失。然而，人們?nèi)匀粵]有完全理解蠕蟲的傳播行為，目前的網(wǎng)絡蠕蟲檢測技術也總是滯后于網(wǎng)絡蠕蟲的攻擊。
　　 本文對于網(wǎng)絡蠕蟲的傳播模型以及檢測技術進行了系統(tǒng)而深入的研究。在網(wǎng)絡蠕蟲的傳播模型方面，對于良性蠕蟲、郵件蠕蟲以及綜合采用掃描蠕蟲及郵

2、件蠕蟲的攻擊策略的混合蠕蟲的傳播進行了建模；在網(wǎng)絡蠕蟲的檢測領域，提出了基于熵的網(wǎng)絡蠕蟲檢測方法、基于蠕蟲行為蹤跡的特征自動提取方法以及自適應的分布式網(wǎng)絡蠕蟲檢測方法。具體內(nèi)容如下：
　　 (1)提出了良性蠕蟲的傳播模型。首先，對于良性蠕蟲進行了分類研究。然后，在有延遲以及無延遲的情況下，推導了各類良性蠕蟲的傳播模型。最后，通過仿真試驗驗證了提出的傳播模型。良性蠕蟲的傳播模型可以使得人們更好地理解以及預測良性蠕蟲對抗蠕蟲的速度以

3、及規(guī)模。
　　 (2)提出了郵件蠕蟲以及混合蠕蟲的離散傳播模型。由于傳染病模型不適用于郵件蠕蟲建模，因此提出了郵件蠕蟲的離散傳播模型。更進一步，基于該模型建立了一種同時運用郵件蠕蟲以及掃描蠕蟲攻擊策略的混合蠕蟲的傳播模型。通過仿真試驗驗證了郵件蠕蟲以及混合蠕蟲的傳播模型。提出的郵件蠕蟲的傳播模型不僅適合在電子郵件服務中傳播的蠕蟲，同時還適合于在相似網(wǎng)絡拓撲結(jié)構(gòu)傳播的拓撲蠕蟲，因此模型具有一般性。
　　 (3)提出了一種部

4、署在路由器上的基于熵的網(wǎng)絡蠕蟲檢測方法。在訓練階段，通過切比雪夫不等式計算網(wǎng)絡數(shù)據(jù)正常的熵值區(qū)間，并且同時使得該區(qū)間檢測網(wǎng)絡蠕蟲的誤報率較低。在實時的網(wǎng)絡蠕蟲檢測過程中，如果當前的網(wǎng)絡數(shù)據(jù)熵不在正常的熵值區(qū)間內(nèi)，那么就對蠕蟲進行報警。實驗結(jié)果表明提出的方法可以準確高效地檢測網(wǎng)絡蠕蟲。
　　 (4)提出了一種基于行為蹤跡分析的網(wǎng)絡蠕蟲特征自動提取的方法。首先，通過CUSUM算法檢測網(wǎng)絡中可疑的蠕蟲流量。然后，在可疑的蠕蟲流量中利用

5、時間關聯(lián)模型分析網(wǎng)絡蠕蟲的行為蹤跡。最后，運用評判函數(shù)確定提取蹤跡中網(wǎng)絡蠕蟲的特征碼。設計并且實現(xiàn)了基于上述算法的原型系統(tǒng)。實驗表明文中的方法可以準確有效地提取網(wǎng)絡蠕蟲的特征碼，并且得到如下結(jié)論：網(wǎng)絡蠕蟲的行為蹤跡不能夠準確地區(qū)分蠕蟲的身份，但是它卻能幫助確定蠕蟲的特征碼的位置，從而有效地提取蠕蟲的特征碼。
　　 (5)提出了一種自適應的分布式網(wǎng)絡蠕蟲的檢測方法。系統(tǒng)的框架由蠕蟲檢測代理和控制中心管理器組成。蠕蟲檢測代理根據(jù)網(wǎng)絡