蠕虫预警技术研究和进展.docVIP

蠕虫预警技术研究和进展 　　摘 要：当前网络蠕虫对Internet构成重要威胁，如何防范蠕虫已经成为网络安全的重要课题。由于蠕虫传播速度快、规模大，因此必须在蠕虫传播初期就能发现并对其采取相应措施进行隔离。全面分析了蠕虫预警方面的最新研究进展，包括路由器级的蠕虫检测、基于行为的蠕虫检测、蠕虫特征的自动提取，并对蠕虫的特点进行了总结，最后对未来蠕虫检测的可能方向进行了展望。 　　关键词：网络安全； 蠕虫； 预警技术 　　中图法分类号：TP309．5 文献标识码：A 文章编号：1001-3695(2006)10-0014-03 　　Survey of Monitoring and Early Warning Technology for Internet Worms 　　XIE Feng1,2, MENG Qing??fa1,2 　　(1.Software Division, Institute of Computing Technology, Chinese Academy of Sciences, Beijing 100080, China; 2.Graduate School, Chinese Academy of Sciences, Beijing 100049, China) 　　Abstract:The threat of Internet worm against network security becomes increasingly serious. It is a vital issue to prevent the worm propagation. In view of the propagation scale and speed, worm should be detected and prevented at the beginning of spreading phase. This paper details the recent researches on monitoring and early warning for Internet worms, including router??based worm detection, behavior??based worm monitoring and the automatic feature extraction, then summarizes the characteristic of the worms, and finally discusses the research trends in this area. 　　Key words:Network Security; Worm; Monitoring and Early Warning Technology 　　 　　随着Internet应用的发展，蠕虫对网络安全的威胁日益增大，已成为网络安全研究的一个热点问题。许多研究人员从蠕虫的功能结构、扫描策略、传播模型等多个方面研究蠕虫的特性。如图1所示，通常蠕虫传播会经过慢速启动、快速传播和缓慢结束三个阶段（这里采用Simple Epidemic Model传播模型[1]）。也就是说蠕虫传播初期速度通常比较慢，但随着传播的进行，其扩散速度将会急剧增大，最后随着未被感染的主机数量减少，其传播速度又会逐渐降低。由此可见，如果是在第二甚至是第三阶段才采取措施对蠕虫进行隔离，实际上对蠕虫的大范围传播几乎不会有太大影响，而且此时蠕虫已经造成了巨大的破坏，因此只有在第一阶段发现蠕虫并进行隔离才能真正有效地限制其传播。本文将全面分析目前蠕虫预警的最新进展，并深入剖析各自的优缺点。 　　 　　1 现有的蠕虫预警技术分析 　　 　　1．1 基于扫描的蠕虫检测 　　通常蠕虫传播是依靠随机扫描方式（如CodeRed蠕虫）。大范围的随机扫描往往是蠕虫爆发时的征兆，因此收集这些扫描活动就能在一定程度上发现蠕虫。Massachusetts大学的Zou等人正是利用这种思想，通过统计对未用IP地址进行的扫描来分析是否发生蠕虫[3]。他们提出了一个蠕虫预警系统模型，该模型主要包含两个部分：蠕虫预警中心和大量的监视器。这些监视器分布在Internet的各个位置上，主要是收集本地蠕虫扫描的相关数据，然后将统计数据发送到预警中心。预警中心则综合分析收到的数据。为了减少预警中心需要处理的数据量，在传送到预警中心之前，需要对这些原始数据进行预处理（如数据融合），因此系统增加了多个数据混合器（Data Mixer）。整个系统可看作一个树状结构（图2）。 　　监视器分为两种，即入口监视器和出口监视器。其中，入口监视器在网络的入口处监视输入数据流，其