大规模网络蠕虫检测与传播抑制

论文摘要

随着网络应用的扩展,网络安全受到的威胁日益严重,尤其是恶意代码的泛滥对网络和应用造成了很大的破坏。在恶意代码中,蠕虫由于无需人的干预,能够自动传播,因此造成的危害最大。如何有效地遏制蠕虫在大规模网络中的传播成为非常迫切的问题。为了解决蠕虫泛滥的问题,必须研究有效的抑制蠕虫在大规模网络中传播的手段。首先通过对蠕虫传播模型的理论分析,从中发现影响蠕虫传播的重要参数,本文认为防御系统的布置与遏制时间是影响最终抑制蠕虫传播效果的最重要的因素。在大规模网络中,通过对网络划分缩小各子网规模,并采用自动检测来缩短遏制时间,建立大规模网络蠕虫防御系统,可以对蠕虫进行有效的遏制。本文研究的主要内容包括以下四部分:第一,在对蠕虫的性质进行了讨论和深入分析后,提出了分割网络进行蠕虫传播抑制的方法。通过对蠕虫的传播行为,尤其是随机扫描阶段进行分析,可以发现蠕虫传播速度与网络规模具有一定的关系。并以SEM(Simple Epidemic Model)模型为主要对象,对模型进行了深入研究,在此基础上,提出了对网络进行分割以减小网络规模,在划分边界上对蠕虫进行隔离,从而在大规模网络上有效的抑制蠕虫的传播。本文建立了与规模相关的蠕虫传播模型,并讨论了分割后子网的数目以及分割时间对蠕虫传播抑制的影响,为在大规模网络中基于分割的蠕虫传播抑制提供了理论依据。第二,由于时间、空间等各项约束会让用户在访问网络时产生一定的用户习惯,在习惯的作用下,用户的访问目的地是较为集中和有限的。在蠕虫爆发时,由于蠕虫的传播会产生大量的陌生访问,从而破坏用户的习惯。因而,对用户的访问目的进行统计分类,并建立用户访问目的列表,则在蠕虫发作时则能及时有效的发现蠕虫。本文对用户的访问行为进行了分析,提出了一种对蠕虫进行早期发现的新方法,并且实现了一个基于用户访问的蠕虫检测系统。实验证明该方法能够有效快速的发现蠕虫的传播。由于用户访问目的中存在的习惯是用户习惯的一方面的体现,而用户的习惯多种多样,可以衍生出很多应用模型,因此具有很强的指导意义。第三,蠕虫由于快速的传播而在网络中造成了严重的危害,对蠕虫进行自动的快速检测是一项必需的研究。在入侵检测系统常用的两种检测模式中,误用检测无法检测到新蠕虫的出现,而异常检测存在效率低,误报高的缺点。本文结合了误用检测与异常检测的优点,提出了蠕虫自动检测的新途

论文目录

• 摘要
• Abstract
• 第1章 绪论
• 1.1 研究的目的与意义
• 1.2 研究现状
• 1.2.1 相关的入侵检测技术简述
• 1.2.2 蠕虫的原理与分析
• 1.2.3 蠕虫检测与遏制的研究现状
• 1.2.4 当前蠕虫防御面临的主要问题
• 1.3 本文的工作
• 1.3.1 研究内容
• 1.3.2 主要贡献
• 第2章 蠕虫的传播抑制
• 2.1 引言
• 2.2 网络规模对蠕虫传播的影响
• 2.2.1 本节的定义与假设
• 2.2.2 蠕虫的扫描与感染率
• 2.2.3 仿真结果
• 2.3 基于网络分割的蠕虫的传播抑制
• 2.3.1 网络分割的性质
• 2.3.2 网络分割的因素分析
• 2.3.3 网络分割效果的对比
• 2.3.4 网络的分割
• 2.4 本章小结
• 第3章 基于用户访问的蠕虫检测
• 3.1 蠕虫的行为与预警原理
• 3.2 网络访问行为的描述
• 3.2.1 用户行为
• 3.2.2 用户习惯
• 3.3 蠕虫检测的算法与实现
• 3.4 结果与分析
• 3.4.1 网络用户行为分析
• 3.4.2 实验与测试
• 3.5 本章小结
• 第4章 蠕虫检测的自动化
• 4.1 前言
• 4.2 误用检测与异常检测的结合
• 4.2.1 误用检测模块
• 4.2.2 异常发现模型
• 4.2.3 系统结构模型
• 4.3 从异常检测到误用检测
• 4.3.1 数据的存储
• 4.3.2 特征的提取
• 4.3.3 实验结果
• 4.4 本章小结
• 第5章 大规模网络蠕虫检测系统设计
• 5.1 引言
• 5.2 系统功能部件
• 5.2.1 自动检测
• 5.2.2 分析控制中心
• 5.2.3 各部件Agent的实现
• 5.3 系统架构设计
• 5.3.1 常见分布式入侵检测系统架构
• 5.3.2 P2P结构的特点
• 5.3.3 大规模网络蠕虫检测系统架构
• 5.4 系统间的通信
• 5.4.1 协议消息
• 5.4.2 消息格式
• 5.4.3 消息与模块
• 5.5 本章小结
• 结论
• 参考文献
• 攻读博士学位期间发表的论文
• 哈尔滨工业大学博士学位论文原创性声明
• 哈尔滨工业大学博士学位论文使用授权书
• 哈尔滨工业大学博士学位涉密论文管理
• 致谢
• 个人简历