基于蜜罐技術(shù)的蠕蟲(chóng)特征自動(dòng)提取技術(shù)的研究.pdf

1、網(wǎng)絡(luò)蠕蟲(chóng)以其多樣性的傳播方式、快速的繁殖能力和破壞能力不斷造成損失。當(dāng)前運(yùn)用最為廣泛的網(wǎng)絡(luò)蠕蟲(chóng)檢測(cè)系統(tǒng)多采用誤用入侵檢測(cè)技術(shù)，其檢測(cè)能力在很大程度上取決于攻擊特征的數(shù)量和質(zhì)量，而依靠專(zhuān)家事后提取特征的方式已遠(yuǎn)遠(yuǎn)不能應(yīng)付層出不窮的新蠕蟲(chóng)攻擊，因此，對(duì)蠕蟲(chóng)特征自動(dòng)提取技術(shù)的研究具有非常重要的意義。
　　 蜜罐技術(shù)的目的在于誘使攻擊，其捕獲惡意數(shù)據(jù)針對(duì)性強(qiáng)、數(shù)據(jù)量小，能較迅速的排除正常流量的干擾收集攻擊信息。為進(jìn)一步區(qū)分出蜜罐系統(tǒng)中的

2、蠕蟲(chóng)攻擊信息，將貝葉斯方法結(jié)合到蠕蟲(chóng)檢測(cè)技術(shù)中，通過(guò)將蜜罐系統(tǒng)捕獲的數(shù)據(jù)按訪問(wèn)總次數(shù)、最大訪問(wèn)頻度、訪問(wèn)范圍、端口風(fēng)險(xiǎn)度和平均負(fù)載長(zhǎng)度5個(gè)觀測(cè)參數(shù)綜合評(píng)分判斷是否屬于可疑蠕蟲(chóng)流量。將蠕蟲(chóng)攻擊手段分為網(wǎng)絡(luò)掃描、快速掃描，緩沖區(qū)溢出以及后門(mén)，分別模擬這4類(lèi)攻擊方式統(tǒng)計(jì)得出4類(lèi)異常觀測(cè)參數(shù)的概率值作為網(wǎng)絡(luò)蠕蟲(chóng)檢測(cè)指標(biāo)。通過(guò)這種結(jié)合蜜罐技術(shù)與貝葉斯方法的蠕蟲(chóng)技術(shù)，減少了噪音數(shù)據(jù)對(duì)系統(tǒng)的干擾，使提取的特征片段更加精確。
　　 目前可用的特

3、征提取算法非常有限，生物信息學(xué)中的Needleman-Wunsch算法則是利用動(dòng)態(tài)規(guī)劃的思想尋求兩條序列間的全局最小距離(最相似子序列)。通過(guò)引入激勵(lì)函數(shù)改進(jìn)Needleman-Wunsch算法能克服原算法易產(chǎn)生碎片的缺點(diǎn)，使之很好的適用蠕蟲(chóng)病毒的特征提取要求。結(jié)合多層序列聯(lián)配算法能較快的舍棄干擾序列，保證整個(gè)特征提取算法的收斂速度；通過(guò)引入通配符盡可能的保留蠕蟲(chóng)病毒的特征，增強(qiáng)特征碼的靈敏性。
　　 利用網(wǎng)絡(luò)蠕蟲(chóng)檢測(cè)技術(shù)與特征