網(wǎng)絡(luò)蠕蟲傳播模型及檢測技術(shù)研究.pdf

1、隨著信息技術(shù)飛速發(fā)展，網(wǎng)絡(luò)蠕蟲對計算機(jī)系統(tǒng)安全和網(wǎng)絡(luò)安全的威脅也日益增加。多樣化的傳播策略和復(fù)雜的應(yīng)用環(huán)境使得網(wǎng)絡(luò)蠕蟲具有發(fā)生頻率高，潛伏性強(qiáng)，覆蓋面廣的特點(diǎn)，蠕蟲的爆發(fā)同時也會造成巨大的經(jīng)濟(jì)損失。然而，人們?nèi)匀粵]有完全理解蠕蟲的傳播行為，目前的網(wǎng)絡(luò)蠕蟲檢測技術(shù)也總是滯后于網(wǎng)絡(luò)蠕蟲的攻擊。
　　 本文對于網(wǎng)絡(luò)蠕蟲的傳播模型以及檢測技術(shù)進(jìn)行了系統(tǒng)而深入的研究。在網(wǎng)絡(luò)蠕蟲的傳播模型方面，對于良性蠕蟲、郵件蠕蟲以及綜合采用掃描蠕蟲及郵

2、件蠕蟲的攻擊策略的混合蠕蟲的傳播進(jìn)行了建模；在網(wǎng)絡(luò)蠕蟲的檢測領(lǐng)域，提出了基于熵的網(wǎng)絡(luò)蠕蟲檢測方法、基于蠕蟲行為蹤跡的特征自動提取方法以及自適應(yīng)的分布式網(wǎng)絡(luò)蠕蟲檢測方法。具體內(nèi)容如下：
　　 (1)提出了良性蠕蟲的傳播模型。首先，對于良性蠕蟲進(jìn)行了分類研究。然后，在有延遲以及無延遲的情況下，推導(dǎo)了各類良性蠕蟲的傳播模型。最后，通過仿真試驗驗證了提出的傳播模型。良性蠕蟲的傳播模型可以使得人們更好地理解以及預(yù)測良性蠕蟲對抗蠕蟲的速度以

3、及規(guī)模。
　　 (2)提出了郵件蠕蟲以及混合蠕蟲的離散傳播模型。由于傳染病模型不適用于郵件蠕蟲建模，因此提出了郵件蠕蟲的離散傳播模型。更進(jìn)一步，基于該模型建立了一種同時運(yùn)用郵件蠕蟲以及掃描蠕蟲攻擊策略的混合蠕蟲的傳播模型。通過仿真試驗驗證了郵件蠕蟲以及混合蠕蟲的傳播模型。提出的郵件蠕蟲的傳播模型不僅適合在電子郵件服務(wù)中傳播的蠕蟲，同時還適合于在相似網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)傳播的拓?fù)淙湎x，因此模型具有一般性。
　　 (3)提出了一種部

4、署在路由器上的基于熵的網(wǎng)絡(luò)蠕蟲檢測方法。在訓(xùn)練階段，通過切比雪夫不等式計算網(wǎng)絡(luò)數(shù)據(jù)正常的熵值區(qū)間，并且同時使得該區(qū)間檢測網(wǎng)絡(luò)蠕蟲的誤報率較低。在實(shí)時的網(wǎng)絡(luò)蠕蟲檢測過程中，如果當(dāng)前的網(wǎng)絡(luò)數(shù)據(jù)熵不在正常的熵值區(qū)間內(nèi)，那么就對蠕蟲進(jìn)行報警。實(shí)驗結(jié)果表明提出的方法可以準(zhǔn)確高效地檢測網(wǎng)絡(luò)蠕蟲。
　　 (4)提出了一種基于行為蹤跡分析的網(wǎng)絡(luò)蠕蟲特征自動提取的方法。首先，通過CUSUM算法檢測網(wǎng)絡(luò)中可疑的蠕蟲流量。然后，在可疑的蠕蟲流量中利用

5、時間關(guān)聯(lián)模型分析網(wǎng)絡(luò)蠕蟲的行為蹤跡。最后，運(yùn)用評判函數(shù)確定提取蹤跡中網(wǎng)絡(luò)蠕蟲的特征碼。設(shè)計并且實(shí)現(xiàn)了基于上述算法的原型系統(tǒng)。實(shí)驗表明文中的方法可以準(zhǔn)確有效地提取網(wǎng)絡(luò)蠕蟲的特征碼，并且得到如下結(jié)論：網(wǎng)絡(luò)蠕蟲的行為蹤跡不能夠準(zhǔn)確地區(qū)分蠕蟲的身份，但是它卻能幫助確定蠕蟲的特征碼的位置，從而有效地提取蠕蟲的特征碼。
　　 (5)提出了一種自適應(yīng)的分布式網(wǎng)絡(luò)蠕蟲的檢測方法。系統(tǒng)的框架由蠕蟲檢測代理和控制中心管理器組成。蠕蟲檢測代理根據(jù)網(wǎng)絡(luò)