一种改进蠕虫检测与遏制算法仿真与评估.docVIP

一种改进的蠕虫检测和遏制算法的仿真和评估 朱宇光 杨雄 王平 (1 常州工学院 计算机信息工程学院，江苏 常州 213002) (2 哈尔滨工业大学 国家计算机信息内容安全重点实验室， 黑龙江 150001) 摘要： 通过对目前几种蠕虫检测和抑制策略的分析比较，提出了一种改进的两轮蠕虫检测和抑制算法，论证了这种算法对快速和慢速蠕虫检测和抑制的有效性，同时考虑了正常网络行为对该算法的影响，大大降低了该算法的误报率。最后，仿真实验分析了该算法在正常网络背景和网络拥堵背景下的检测蠕虫效果，证明了该算法策略能够高效地检测和抑制蠕虫，同时具有较好的低误报性。 关键字：蠕虫抑制，蠕虫检测，失败连接，误报率 中图分类号：TP393 文献标志码：A Simulation and Evaluation OF A New Algorithm of Worm Detection and Containment Yuguang Zhu Xiong Yang Ping Wang (1 School of Computer Information Engineering, Changzhou Institute of Technology, Changzhou, Jiangsu, 213002, China) (2 National Key Lab on Computer Context Information Security, Harbin Institute of Technology, Harbin 150001 Chian) Abstract: Based on the comparison and analysis of many worm containment strategy，a new and effective strategy of worm dynamic defense and containment which is named IWDC is proposed in this paper. The effectiveness for containing top-speed scan worm and slow-speed scan worm is demonstrated. The impact of normal network traffic on the containment strategy is also analyzed so that it brings down false positives largely. The simulation results verify that improved two—rotation quarantine algorithm can contain worms effectively and create lower false alarms. Key Words：worm containment, worm detection, false connection, false alarms 引言 随着互联网应用的深入，网络蠕虫对计算机系统安全和网络安全的威胁日益增加。因此,网络蠕虫成为目前研究人员的重要课题，近年来,国外政府、研究机构都非常重视网络蠕虫研究,美国政府近期投入546 万美元给UC Berkeley 和Southern California 大学建立网络攻击测试床，用于蠕虫，病毒等方面的研究。在国内，国家计算机应急技术处理与协调中心(CNCERT/CC)也在致力于新型的蠕虫检测与抑制策略的研究。现在变种蠕虫病毒的层出不穷和传播速度的快速性，使得蠕虫的检测和遏制往往滞后于蠕虫的扩散传播，所以及时和自动的蠕虫早期检测和抑制策略就成为蠕虫防御的关键。 目前国内外学者对蠕虫早期检测和自动响应抑制进行了大量的研究，Chen et al[1].通过对TCP蠕虫扩散的行为本质——产生大量的无效TCP请求进行分析提出了基于失败连接数的蠕虫检测和速率抑制算法，这种策略分成两个阶段即：短期防御阶段和较长期防御阶段，从一定程度上对快速扫描型蠕虫和慢速“stealthy”型蠕虫都起到了一定的作用，但是这种检测和遏制蠕虫的方法没有考虑正常成功连接的因素，有较高的误报率；Schechter et. Al[2]提出了另一种基于失败连接数的蠕虫检测和抑制策略，Schechter考虑了成功连接对蠕虫检测和抑制策略的影响并且只考虑了首次连接请求导致的失败连接，因为蠕虫往往产生大量并且目的地址不同的首次失败连接请求，而正常网络行为例如用户对某一关闭网站的请求虽然也会产生首次连接请求失败但不会持续产生大量的首次失败连接，相比Chen的方法降低了误报率，但是这种