未知網(wǎng)絡(luò)蠕蟲檢測與特征碼自動生成的研究.pdf

1、網(wǎng)絡(luò)蠕蟲以其快速、多樣化的傳播方式不斷給網(wǎng)絡(luò)世界帶來災(zāi)害，與傳統(tǒng)的主機(jī)病毒相比，網(wǎng)絡(luò)蠕蟲具有更強(qiáng)的繁殖能力和破壞能力。從蠕蟲爆發(fā)到蠕蟲被消滅的時間卻越來越長，但從發(fā)現(xiàn)漏洞到蠕蟲爆發(fā)的時間越來越短，采用人工方法控制蠕蟲的快速傳播是不現(xiàn)實的，這就亟需蠕蟲的自動檢測系統(tǒng)。新的網(wǎng)絡(luò)蠕蟲層出不窮，蠕蟲變種也越來越多，破壞力也越來越大，而且更加隱蔽，傳統(tǒng)的基于模式匹配算法的檢測系統(tǒng)也難以勝任，這就需要能夠檢測未知蠕蟲的系統(tǒng)。
　　 網(wǎng)絡(luò)蠕蟲

2、脫胎于病毒，但又于病毒有所不同，在定義了網(wǎng)絡(luò)蠕蟲之后，介紹了蠕蟲的行為特點、實體結(jié)構(gòu)和工作流程。從蠕蟲檢測方面考慮，重點分析了網(wǎng)絡(luò)蠕蟲的掃描方法，比較蠕蟲自動掃描與黑客人為掃描的區(qū)別，并簡要介紹了蠕蟲的傳染模型。
　　 以蠕蟲掃描失敗的特征、感染主機(jī)的特征、蠕蟲爆發(fā)時的網(wǎng)絡(luò)特征為依據(jù)，主要研究在網(wǎng)絡(luò)層檢測未知網(wǎng)絡(luò)蠕蟲，采用基于出入口雙向流量分析的方法來檢測。目前多數(shù)蠕蟲檢測系統(tǒng)利用網(wǎng)絡(luò)流量的某一屬性來檢測蠕蟲的攻擊，可能存在單點

3、時效性，故對入口流量進(jìn)行多屬性的相似度分析；考慮到靜態(tài)時間窗口的流量統(tǒng)計失去了前后的相關(guān)性，故對出口流量進(jìn)行基于滑動窗口的失敗連接的統(tǒng)計分析。二者共同構(gòu)建可疑屬性數(shù)據(jù)庫，作為檢測未知蠕蟲的依據(jù)。
　　 捕獲網(wǎng)絡(luò)流量，參照可疑屬性數(shù)據(jù)庫，從中找出異常流量，認(rèn)為其為可疑的未知蠕蟲數(shù)據(jù)包，將其導(dǎo)入可疑流量池。當(dāng)可疑流量池中的流量超過一定規(guī)模時，觸發(fā)蠕蟲特征碼自動生成系統(tǒng)。特征碼自動生成系統(tǒng)以可疑流量池為數(shù)據(jù)來源，輸出未知蠕蟲特征碼到特