網(wǎng)絡(luò)蠕蟲的早期檢測和防護算法研究.pdf

1、隨著計算機網(wǎng)絡(luò)規(guī)模的迅速擴大，網(wǎng)絡(luò)蠕蟲攻擊成為目前影響網(wǎng)絡(luò)安全的一個重要問題。新一代蠕蟲的傳播速度越來越快，其破壞性也越來越大，實現(xiàn)蠕蟲早期檢測是蠕蟲防御的前提和技術(shù)難點。傳統(tǒng)的基于特征值匹配入侵檢測系統(tǒng)已經(jīng)不能適應(yīng)蠕蟲的檢測和防御，需要從網(wǎng)絡(luò)蠕蟲傳播的特性入手，研究檢測和抑止蠕蟲傳播的有效方法。本文研究網(wǎng)絡(luò)蠕蟲的早期檢測和防護算法，以盡早地防范網(wǎng)絡(luò)蠕蟲，降低網(wǎng)絡(luò)蠕蟲對網(wǎng)絡(luò)的損害。 本文首先針對目前大部分蠕蟲在掃描和傳播的過程中

2、會導(dǎo)致網(wǎng)絡(luò)充滿大量的ICMP-T3和RESET包這一問題，通過對網(wǎng)絡(luò)中上述兩類數(shù)據(jù)包的分析，提出一種高效的蠕蟲早期檢測算法。該算法只探測和分析RESET和ICMP-T3這兩種網(wǎng)絡(luò)數(shù)據(jù)包，避免了分析網(wǎng)絡(luò)中的全部流量，從而提高了分析效率和實時響應(yīng)性；同時通過分析蠕蟲的傳播過程，發(fā)現(xiàn)在蠕蟲的傳播過程中具有DS轉(zhuǎn)換特征，而其他的人為掃描則沒有這個特征，從而可以進(jìn)一步比較精確地得到感染蠕蟲的主機地址。 然后，本文針對目前網(wǎng)絡(luò)上的蠕蟲攻擊方

3、法，提出了一種基于資源操作域的主機防護模型。模型從系統(tǒng)資源入手，立足于控制進(jìn)程行為，建立了一個授權(quán)訪問系統(tǒng)資源的進(jìn)程以及操作方法的最小集合，從根本上提高了防護的主動性和對未知蠕蟲攻擊的防范能力。 并且，基于本文提出的高效蠕蟲早期檢測算法研究，本文設(shè)計實現(xiàn)了一個蠕蟲早期檢測系統(tǒng)LEDW。該系統(tǒng)采用分布式結(jié)構(gòu)設(shè)計，運行于Linux系統(tǒng)，采用Libpcap開發(fā)包和C++開發(fā)，基于Mysql存儲采集數(shù)據(jù)。通過在現(xiàn)實網(wǎng)絡(luò)環(huán)境中運行及對魔波