网络蠕虫的早期检测和防护算法研究

论文摘要

随着计算机网络规模的迅速扩大,网络蠕虫攻击成为目前影响网络安全的一个重要问题。新一代蠕虫的传播速度越来越快,其破坏性也越来越大,实现蠕虫早期检测是蠕虫防御的前提和技术难点。传统的基于特征值匹配入侵检测系统已经不能适应蠕虫的检测和防御,需要从网络蠕虫传播的特性入手,研究检测和抑止蠕虫传播的有效方法。本文研究网络蠕虫的早期检测和防护算法,以尽早地防范网络蠕虫,降低网络蠕虫对网络的损害。本文首先针对目前大部分蠕虫在扫描和传播的过程中会导致网络充满大量的ICMP-T3和RESET包这一问题,通过对网络中上述两类数据包的分析,提出一种高效的蠕虫早期检测算法。该算法只探测和分析RESET和ICMP-T3这两种网络数据包,避免了分析网络中的全部流量,从而提高了分析效率和实时响应性;同时通过分析蠕虫的传播过程,发现在蠕虫的传播过程中具有DS转换特征,而其他的人为扫描则没有这个特征,从而可以进一步比较精确地得到感染蠕虫的主机地址。然后,本文针对目前网络上的蠕虫攻击方法,提出了一种基于资源操作域的主机防护模型。模型从系统资源入手,立足于控制进程行为,建立了一个授权访问系统资源的进程以及操作方法的最小集合,从根本上提高了防护的主动性和对未知蠕虫攻击的防范能力。并且,基于本文提出的高效蠕虫早期检测算法研究,本文设计实现了一个蠕虫早期检测系统LEDW。该系统采用分布式结构设计,运行于Linux系统,采用Libpcap开发包和C++开发,基于Mysql存储采集数据。通过在现实网络环境中运行及对魔波蠕虫（WormMocbot.A）的检测,表明该系统在蠕虫早期检测方面有比较好的实时性。最后,论文指出需要进一步完善的工作和今后潜在的研究方向。

论文目录

• 摘要
• ABSTRACT
• 第1章 绪论
• 1.1 研究背景及意义
• 1.2 研究内容
• 1.3 本文主要工作
• 1.4 论文结构
• 第2章 相关研究综述
• 2.1 网络蠕虫的定义
• 2.2 网络蠕虫的分类
• 2.2.1 网络蠕虫的传播途径
• 2.2.2 网络蠕虫的破坏能力
• 2.2.3 网络蠕虫的应用
• 2.2.4 网络蠕虫的研究现状
• 2.3 网络蠕虫的传播机制分析
• 2.3.1 网络蠕虫的扫描方法
• 2.3.2 网络蠕虫的攻击方法
• 2.4 网络蠕虫的早期检测
• 2.4.1 基于特征值匹配蠕虫早期检测
• 2.4.2 利用ICMP-T3 数据包检测技术
• 2.4.3 HoneyPot 蜜罐检测技术
• 2.4.4 蠕虫爆发流量检测技术
• 2.4.5 基于硬件的检侧和防御
• 2.5 小结
• 第3章 一种高效的蠕虫早期实时检测方法
• 3.1 前言
• 3.2 网络蠕虫传播模型
• 3.3 正常主机与感染蠕虫的主机的网络行为之间的区别
• 3.4 蠕虫检测算法
• 3.5 蠕虫检测算法性能分析
• 3.6 小结
• 第4章 基于资源操作域的蠕虫攻击主机防护模型
• 4.1 前言
• 4.2 系统资源分类
• 4.3 资源操作域（ROD）
• 4.3.1 相关定义
• 4.3.2 ROD 表示规则
• 4.4 ROD 构建及运用
• 4.5 ROD 模型性能分析
• 4.6 实验验证
• 4.7 小结
• 第5章 网络蠕虫检测系统LEDW 设计与实现
• 5.1 前言
• 5.2 系统结构设计
• 5.2.1 公共入侵检测系统框架CIDF
• 5.2.2 LEDW 系统结构
• 5.3 系统模块实现
• 5.3.1 数据包捕取实现
• 5.3.2 协议分析实现
• 5.4 系统测试数据分析
• 5.5 小结
• 结论
• 参考文献
• 致谢
• 附录攻读硕士期间发表的论文