面向网络蠕虫扫描特征的检测和预警系统的设计

摘要

随着网络系统应用及其复杂性的增加，网络蠕虫以其快速、多样化的传播方式不断给网络世界带来灾害。与传统的主机病毒相比，网络蠕虫具有更强的自我繁殖能力和破坏能力。因此，对网络蠕虫进行有效的数学建模并进行预警的研究具有非常重大的意义。对网络蠕虫的结构化扫描及网络攻击方法分析是防范网络蠕虫传播的有效方法和前提条件。
　　 互联网的特点是具有开放性，没有完善的预警机制很难保证网络的各个节点不受未知网络蠕虫的攻击，因此传统的基于单机的蠕虫病毒预防技术对网络蠕虫的预警并不适用。本文设计了一种基于PPM模型、防火墙和分布式入侵检测系统的网络蠕虫预警系统。该系统在对网络中已知蠕虫进行预警的同时，从巨量网络流量中分析出可疑流量；并对可疑流量进行相似性分析，从而对未知蠕虫进行预警。测试结果表明，该系统能够对网络中的未知蠕虫进行预警提示。
　　 本文的工作首先重新审视了现有的网络蠕虫的定义，给出了一个相对严谨的蠕虫定义。同时详细分析了网络蠕虫的数学传播模型，并针对每一个模型进行了数学建模。通过图形仿真实验显示了每个网络蠕虫在模型下的传播速度和趋势。
　　 其次，本文详细总结并分析了现有的防御网络蠕虫的检测技术，通过异常网络行为来检测及分析网络蠕虫。创新性地提出了使用压缩算法PPM来检测和预测网络蠕虫。提出了使用PPM模型来检测网络流的框架。提出了在网络蠕虫的爆发的状况下，使用PPM来进行一场网络事件分拣和事件筛选。
　　 最后，本文提出了基于PPM模型、防火墙和入侵检测系统三重防护的网络蠕虫检测和预警系统。在该网络蠕虫控制系统中，防火墙针对子网网络环境中网络蠕虫的传播途径进行分析和控制。该模型的提出减少了各个子网间蠕虫的交互感染率。该网络蠕虫预警系统采用分布式入侵检测系统防御网络蠕虫。本文将PPM模型、防火墙和分布式入侵检测系统相结合的方法大大增加了网络蠕虫的检测概率。
　　 本课题来源于国家发展和改革委员会委托华为公司开发的项目《无线移动环境下信息安全综合管理产业化项目》。

目录

文摘

英文文摘

第一章 引言

1.1 选题背景

1.2 网络蠕虫

1.2.1 网络蠕虫的定义

1.2.2 网络蠕虫的危害

1.3 蠕虫的分类

1.3.1 主机蠕虫

1.3.2 网络蠕虫

1.4 目前国内外研究现状

1.5 研究课题的内容

第二章 网络蠕虫的机理

2.1 蠕虫程序的功能结构

2.2 蠕虫的工作机制

2.2.1 目标发现

2.2.2 传播方式

2.2.3 激活方式

2.3 蠕虫的负载功能

2.4 蠕虫的传播模型[13]

2.4.1 Simple Epidemic(简单传播)模型

2.4.2 Kermack—Mckendrick 模型

2.4.3 SIS 模型

2.4.4 Two—factor(双因子)模型

2.4.5 Anti Worm模型

2.4.6 SEIR 的P2P模型

2.5 本章小结

第三章 基于网络特征的的蠕虫检测

3.1 现有的蠕虫检测技术

3.1.1 基于签名的检测技术

3.1.2 基于蠕虫特征码的检测

3.1.3 基于Honey Pot 的蠕虫检测

3.1.4 网络黑洞检测技术

3.2 网络异常特征

3.2.1 网络特征分类

3.2.2网络异常阈值检测方法

3.3 基于网络特征的蠕虫检测技术

3.3.1 基于关联分析的蠕虫检测

3.3.2 基于能量特征和支持向量机的网络蠕虫检测[27]

3.3.3 基于流量的检测技术

3.3.4 基于多特征相似度的蠕盘检测[28]

3.4 基于PPM算法的网络蠕虫检测技术

3.4.1 PPM算法原理

3.4.2 网络蠕虫的扫描行为

3.4.3 PPM检溯的核心思想

3..4.4 PPM检测模型的部署

3.4.5 PPM检测模型构造

3.4.6 网络异常事件筛选器

3..4.7 网络异常事件筛选器运作流程

3..4.8 网络异常事件自动分拣器描述

3.4.9 网络异常事件自动分拣器运作流程

3..4.10 网络异常事件规则知识库匹配算法

3.5 本章小结

第四章基于PPM模型的预警系统

4.1 网络蠕虫传播条件

4.2 预警系统的设计

4.2.1 预警系统的意义

4.3 防火墙技术

4.3.1 数据包过滤型防火墙

4.3.2 应用层网关防火墙(Application Level Gateways)

4.3.3 代理防火墙

4.3.4 深度包检测(Deep Package Inspection)防火墙

4.3.5 分布式防火墙

4.3.6 智能防火墙

4.4 防火墙对网络蠕虫的控制

4.4.1 防火墙对网络蠕虫的控制

4.4.2 多层次的防火墙蠕虫检测模型

4.5 入侵检测系统

4.5.1 SNORT

4.5.2 分布式蠕虫检测系统

4.5.3 分布式蠕虫检测系统设计

4.6 预警系统

4.6.1 测试环境

4.6.2 预警系统拓扑图

4.7 系统功能

4.7.1 测试场景

4.7.2 测试结果

4.8 本章小结

第五章 总结和展望

5.1 总结

5.2 不足与展望

参考文献

致谢

作者攻读学位期间发表的学术论文目录