网络蠕虫检测系统的设计和实现.pdfVIP

第二十届全国计算机信息管理学术研讨会 网络蠕虫检测系统的设计和实现 北京文献服务处钱旭顾巍陈凌晖丁晓峰 (北京167信箱，100036) 【摘要】根据理论研究的结果，本文设计了一种面向实际应用的网络蠕虫检测系统，并初步实现 了原型系统。该系统采用分布式架构，主要针对局域网内的未知蠕虫进行实时监控，通过分析网络 数据流量，提取蠕虫传播过程中的普遍特征，预测未知蠕虫在网内大规模爆发的趋势。该蠕虫检测 系统可作为网络安全体系的重要组成部分，保障本地网络系统的稳定、安全运行。 【关键词】网络蠕虫，分布式架构，异常检测 1引言 随着网络蠕虫技术的发展，网络蠕虫可能成为今后网络系统面临的最大安全威胁之一。在网络 信息对抗中，蠕虫可能成为敌方的攻击武器对我方系统漏洞进行攻击破坏，造成重要信息泄漏，或 网络系统瘫痪。利用无线技术连接到互联网上的电子产品也可能会成为网络蠕虫新的攻击领域。 1．1国内外研究现状 网络蠕虫虽然早在1988年就显示出它巨大的破坏力和危害性，但由于当时网络还未酱及，所以 并没有引起人们更多的注意。近年米，随着互联网的发展，人们对网络技术的认识越来越深入，大 量的蠕虫T具包和蠕虫编写文章在网上出现，使得蠕虫编写丁作的难度越来越低，新的蠕虫层出不 穷，造成的破坏越来越人，其危害程度已经远远超过传统的病毒。人们逐步认识到了研究蠕虫对抗 措施的重要性，但目前研究上作主要集中在对已有蠕虫的检测与防范上，使蠕虫的防范工作处于非 常被动的地位。为了改变这种局面，人们正在研究能够检测与防范未知蠕虫的准确有效的方法，并 已初见成效。 R． 如何在蠕虫爆发之前及时发现异常并采取措施，是当前国内外研究的一个重点。1998年，Steve White就曾强调虑该加强蠕虫对抗工作的研究力度，并指出针对文件系统的防范措施并不适用于蠕虫 的防范需求[1】。2000年，IBM启动对抗网络蠕虫的项目，力求开发一个自动检测和防御蠕虫的软硬 件环境，关键技术是构造虚拟机来仿真蠕虫传播的网络环境。2001年，JoseNazari等人讨论了蠕虫 的技术发展趋势，给出了蠕虫的一个功能模型框架【2】。2001年7月，红色代码蠕虫爆发后，针对蠕 CWeaver给出了几种蠕虫的快速传播策略，并 虫的研究逐渐重新成为热点。Berkeley人学Nicholas 预言在30分钟内感染整个互联网的蠕虫将要出现。在蠕虫对抗技术方面，他强调蠕虫的检测、分析 和响应需要自动化，认为数学建模和仿真是研究蠕虫的主要手段。邹长春以红色代码蠕虫为例，讨 论了基于微分方程描述的双因素传播模型，这个模型可以看作是SIR传播模型的一种扩展[31。David Moore提山了衡量防范蠕虫技术的有效性的二个参数：响应时间、防范策略、布置策略。他认为目前 的防治技术在这三个参数上都远远达不到对蠕虫防治的要求[4】。DugSong等人对蠕虫引起的网络流 量统计特征做了研究，力图通过对网络流量的异常检测实现对网络蠕虫的防范。华盛顿大学应用研 究室的JohnW Bakos等人设计的系统主要监视蠕虫访问不存在的网络地址时所引起的目的不可达的 Berk，George ICMP报文以进行蠕虫检测，他们的检测方法需要分布在多个网络范围内的组件进行协同合作。2003 276 第二十届全国计算机信息管理学术研讨会 年，网络蠕虫专题研讨会在华盛顿召开，讨论了蠕虫的发展历程及未来趋势、蠕虫预警系统设计与 测试、蠕虫模型剖析及隔离技术等。 国内在这方面的工作也已有开展，但是多数还是处于研究和设计阶段，少有成型的商业产品出 现。不过，国内安全厂家已经意识到了在蠕虫泛滥初期对其检测和控制的重要性，这将对蠕虫的防 治和控制工作有积极的作用。 2目前存在的问题 当前并没有专门的蠕虫检测和防御系统，传统的主机防病毒系统和入侵检测系统对蠕虫的检测 和防御主要采用的方法是使用特征码进行识别，避免主机受到感染。尽管这种方法在保护系统上很 有效，但仍有以下不足： 1、对蠕虫的检测不具有