合作追踪蠕虫的传播

论文摘要

近年来出现的Internet范围的大规模的网络安全事件,如网络蠕虫、僵尸网络(Botnet)等,严重影响了人们正常的网络活动。为应对这类威胁,人们建立了一些数据中心,大范围的收集和共享来自不同网络的安全日志,以分析了解大规模攻击的模式、特点和趋势,达到单一网络节点无法达到的全局性诊断能力。然而,Internet数据中心的建立带来了很多挑战,例如共享日志的匿名技术,安全存储与访问技术,分析与挖掘技术等等,而我们所关心的是如何通过分析共享日志中的信息,实现对蠕虫传播的合作追踪。本文提出了一种利用非匿名的报警日志集,进行追踪蠕虫传播的方法。在随机选取具有蠕虫扫描特征的报警记录之后,利用报警时间回溯,重构蠕虫传播的树状网络,从而确定监控地址集中可能的蠕虫来源。为了比较不同的匿名程度对追踪蠕虫来源的影响,我们设计了适用于存在匿名地址情况的随机回溯算法,并提出了几种度量分析方法,最后实现了一个模拟程序验证了所设计方法的可行性。结果表明使用随机回溯算法对报警日志集进行分析可有效地追踪蠕虫的传播,并且对经过不同程度匿名的报警日志集使用该方法同样可获得较好的效果。

论文目录

• 摘要
• Abstract
• 第一章 绪论
• 1.1 研究背景
• 1.2 研究问题的提出和意义
• 1.3 本文主要工作
• 第二章 蠕虫的传播以及蠕虫传播源的定位
• 2.1 蠕虫简介
• 2.1.1 蠕虫定义
• 2.1.2 蠕虫病毒与普通病毒的区别
• 2.1.3 蠕虫病毒的功能结构
• 2.2 蠕虫传播与端口扫描
• 2.2.1 蠕虫传播流程
• 2.2.2 基于扫描蠕虫传播方式
• 2.2.3 基于扫描蠕虫传播策略
• 2.2.4 基于扫描的蠕虫传播特点
• 2.3 蠕虫传播定位-随机moonwalk算法
• 2.3.1 算法思想
• 2.3.2 算法描述
• 2.3.3 算法效果
• 2.4 本章小结
• 第三章 Internet数据中心
• 3.1 Internet数据中心
• 3.1.1 建设Internet数据中心的背景
• 3.1.2 建设Internet数据中心的意义
• 3.1.3 Internet范围的共享协作监控架构
• 3.2 敏感的报警日志
• 3.2.1 报警日志的格式
• 3.2.2 报警日志中的敏感数据
• 3.2.3 对敏感信息潜在的威胁
• 3.3 匿名的报警日志
• 3.3.1 匿名技术简述
• 3.3.2 匿名方法
• 3.3.3 对报警日志进行匿名处理
• 3.4 本章小结
• 第四章 蠕虫传播源的定位
• 4.1 随机回溯的搜索
• 4.2 带匿名地址的搜索
• 4.3 数据度量
• 4.3.1 信息熵
• 4.3.2 权重排名距离
• 4.3.3 感染数量排名距离
• 4.3.4 警报时间排名距离
• 4.4 本章小结
• 第五章 模拟实验
• 5.1 实验设计
• 5.1.1 数据源生成程序设计
• 5.1.2 随机回溯算法程序设计
• 5.2 实验结果
• 5.2.1 随机扫描算法实验结果
• 5.2.2 分析结果
• 5.3 本章小结
• 第六章 结论
• 参考文献
• 攻读学位期间发表的论文
• 致谢