基于流特征分布相似度的蠕虫检测方法研究

论文摘要

随着计算机技术的发展和互联网应用的深入,各种恶意代码(计算机病毒、网络蠕虫等)对系统安全造成了严重的威胁。网络蠕虫的传播可能占用被感染主机的大量系统资源,影响目标系统的正常使用;也可能通过抢占网络带宽,造成网络的严重堵塞甚至整个网络的瘫痪。如何对网络蠕虫进行检测、预警和应对,已经成为计算机网络安全研究领域的一个重要课题。本文对网络蠕虫工作机制进行了研究,分析了网络异常检测的研究现状和网络蠕虫的传播方式,阐述了基于流特征分布相似度的网络蠕虫检测方法。基于网络蠕虫的传播普遍引起网络流量异常的特点,提出了一种基于流特征分布相似度的网络蠕虫检测方法。该方法利用蠕虫发作时流量异常的特点,选取三个特征(源地址、目的地址、目的端口),统计这三个特征属性分布并建立特征集;在检测阶段,运用马氏距离公式计算当前网络数据与特征集矩阵的相似度。当计算得出的相似度超出预先设置的阈值范围时,识别为局域网内发生了蠕虫攻击,发出蠕虫攻击报警。根据所提出的基于流特征分布相似度的蠕虫检测方法,设计和开发了一个网络蠕虫检测原型系统。该系统主要包括了网络状况信息采集子系统、网络状况信息统计与分析子系统、数据输出与显示子系统和蠕虫攻击报警子系统四个组成部分。通过局域网内的测试实验表明,本系统能够及时检测到局域网内出现的slammer、nimda和熊猫烧香等多种蠕虫病毒。

论文目录

• 摘要
• Abstract
• 1 绪论
• 1.1 研究背景
• 1.2 网络蠕虫的检测与防御技术研究现状
• 1.2.1 蠕虫检测防御技术
• 1.2.2 蠕虫检测防御技术新思路
• 1.3 研究意义
• 1.4 论文的主要工作
• 1.5 论文的组织结构
• 2 网络蠕虫的相关研究
• 2.1 网络蠕虫的定义
• 2.2 网络蠕虫的工作流程
• 2.2.1 感染
• 2.2.2 传播
• 2.2.3 执行负载
• 2.3 网络蠕虫的行为特征
• 2.4 网络蠕虫的统一功能结构
• 2.4.1 蠕虫基本功能
• 2.4.2 蠕虫扩展功能
• 2.5 网络蠕虫的扫描策略
• 2.6 本章小结
• 3 基于流特征分布相似度的蠕虫检测方法
• 3.1 入侵检测技术
• 3.1.1 误用检测技术
• 3.1.2 异常检测技术
• 3.2 基于流量统计分析的异常检测技术概述
• 3.3 基于流量统计分析的异常检测技术研究现状分析
• 3.4 基于流特征分布相似度的蠕虫检测方法
• 3.4.1 蠕虫与网络流量的关系
• 3.4.2 基于流特征分布相似度的蠕虫检测流程
• 3.4.3 相似度概念和计算公式
• 3.4.4 基于相似度计算的蠕虫检测算法
• 3.5 本章小结
• 4 网络蠕虫检测系统的设计与实现
• 4.1 网络蠕虫检测系统概述
• 4.1.1 系统说明
• 4.1.2 系统功能结构
• 4.1.3 检测工作流程
• 4.2 系统设计
• 4.2.1 网络状况信息采集子系统设计
• 4.2.2 网络状况信息统计与分析子系统设计
• 4.2.3 数据输出与显示子系统设计
• 4.2.4 蠕虫攻击报警子系统设计
• 4.2.5 输入输出设计
• 4.2.6 用户界面（UI）设计
• 4.3 系统实现
• 4.3.1 网络状况信息采集子系统实现
• 4.3.2 相似度计算模块实现
• 4.3.3 绘图与输出模块实现
• 4.4 本章小结
• 5 网络蠕虫检测系统的检测实验及结果分析
• 5.1 检测环境
• 5.2 实验及结果分析
• 5.2.1 检测实验
• 5.2.2 实验结果分析
• 5.3 本章小结
• 6 总结与展望
• 6.1 本文工作总结
• 6.2 进一步工作展望
• 致谢
• 参考文献
• 在校学习期间发表的论文