面向网络蠕虫扫描特征的检测和预警系统的设计

论文摘要

随着网络系统应用及其复杂性的增加,Internet蠕虫以其快速、多样化的传播方式不断给网络世界带来灾害。与传统的主机病毒相比,Internet蠕虫具有更强的繁殖能力和破坏能力。因此,对网络蠕虫进行有效的建模并进行预警的研究具有非常重大的意义。对Internet网络蠕虫的结构扫描及攻击方法分析是防范网络蠕虫传播的有效方法和前提条件。互联网具有开放性的特点,没有完善的预测机制保证互联网络节点不受未知Internet蠕虫的攻击,因此传统基于单机的病毒预防技术对Internet蠕虫的预警并不适用。本文设计了一种基于防火墙和分布式入侵检测系统的Internet蠕虫预警系统。系统在对网络中已知蠕虫进行预警的同时,从网络TCP流量中分析出可疑流量；并对可疑流量进行相似性分析,从而对未知蠕虫进行预警。测试结果表明,系统能够对网络中的未知蠕虫进行预警提示。本文首先重新审视了现有的网络蠕虫的定义,给出了一个相对严谨的蠕虫定义。详细分析了网络蠕虫的传播模型,并对每一个模型进行了数学建模。通过图形仿真实验显示了每个网络蠕虫在模型下的传播速度。其次,本文详细总结并分析了现有的防御网络蠕虫的检测技术,通过异常网络行为来检测及分析网络蠕虫。创新性地提出了使用压缩算法PPM来预测和检测网络蠕虫。提出了使用PPM模型来检验网络的框架。提出了在网络蠕虫的干扰下,使用PPM来进行一场网络事件分拣和事件筛选。最后,本文提出了基于PPM模型、防火墙和入侵检测系统三重防护的网络蠕虫检测和预警系统。在该网络蠕虫控制系统中,防火墙针对子网网络环境中网络蠕虫的传播途径进行分析。该模型的提出减少了各个子网间蠕虫的交互感染率。该网络蠕虫控制系统采用分布式入侵检测系统防御网络蠕虫。本文将PPM模型、防火墙和分布式入侵检测系统相结合的方法大大增加了网络蠕虫的检测概率。本课题来源于国家发展和改革委员会委托华为公司开发的项目《无线移动环境下信息安全综合管理产业化项目》。

论文目录

• 摘要
• ABSTRACT
• 第一章 引言
• 1.1 选题背景
• 1.2 网络蠕虫
• 1.2.1 网络蠕虫的定义
• 1.2.2 网络蠕虫的危害
• 1.3 蠕虫的分类
• 1.3.1 主机蠕虫
• 1.3.2 网络蠕虫
• 1.4 目前国内外研究现状
• 1.5 研究课题的内容
• 第二章 网络蠕虫的机理
• 2.1 蠕虫程序的功能结构
• 2.2 蠕虫的工作机制
• 2.3 目标发现
• 2.3.1 拓扑无关策略
• 2.3.2 拓扑相关发展策略
• 2.4 传播方式
• 2.5 激活方式
• 2.6 蠕虫的负载功能
• 2.7 蠕虫的传播模型
• 2.7.1 Simple Epidemic（简单传播）模型
• 2.7.2 Kermack-Mckendrick模型
• 2.7.3 SIS锲型
• 2.7.4 Two-factor（双因子）模型
• 2.7.5 Anti Worm模型
• 2.7.6 SEIR的P2P模型
• 2.8 本章小结
• 第三章基于网络特征的的蠕虫检测
• 3.1 现有的蠕虫检测技术
• 3.1.1 基于签名的检测技术
• 3.1.2 基于蠕虫特征码的检测
• 3.1.3 基于Honey Pot的蠕虫检测
• 3.1.4 网络黑洞检测技术
• 3.2 网络异常特征
• 3.2.1 网络特征分类
• 3.2.2 网络异常阈值检测方法
• 3.3 基于网络特征的蠕虫检测技术
• 3.3.1 基于关联分析的蠕虫检测
• 3.3.2 基于能量特征和支持向量机的网络蠕虫检测
• 3.3.3 基于流量的检测技术
• 3.3.4 基于多特征相似度的蠕虫检测
• 3.4 基于PPM算法的网络蠕虫检测技术
• 3.4.1 PPM算法原理
• 3.4.2 网络蠕虫的扫描行为
• 3.4.3 PPM检测的核心思想
• 3.4.4 PPM检测模型的部署
• 3.4.5 PPM检测模型构造
• 3.4.6 网络异常事件筛选器
• 3.4.7 网络异常事件筛选器运作流程
• 3.4.8 网络异常事件自动分拣器描述
• 3.4.9 网络异常事件自动分拣器运作流程
• 3.4.10 网络异常事件规则知识库匹配算法
• 3.5 本章小结
• 第四章 基于PPM模型的预警系统
• 4.1 网络蠕虫传播条件
• 4.2 预警系统的设计
• 4.2.1 预擎系统的意义
• 4.3 防火墙技术
• 4.3.1 数据包过滤型防火墙
• 4.3.2 应用层网关防火墙（Application Level Gateways）
• 4.3.3 代理防火墙
• 4.3.4 深度包检测（Deep Package Inspection）防火墙
• 4.3.5 分布式防火墙
• 4.3.6 智能防火墙
• 4.4 防火墙对网络蠕虫的控制
• 4.4.1 防火墙对网络蠕虫的控制
• 4.4.2 多层次的防火墙蠕虫检测模型
• 4.5 入侵检测系统
• 4.5.1 SNORT
• 4.5.2 分布式蠕虫检测系统
• 4.5.3 分布式蠕虫检测系统设计
• 4.6 预警系统
• 4.6.1 测试环境
• 4.6.2 预警系统拓扑图
• 4.7 系统功能
• 4.7.1 测试场景
• 4.7.2 测试结果
• 4.8 本章小结
• 第五章总结和展望
• 参考文献
• 致谢
• 作者攻读学位期间发表的学术论文目录