基于Bloom Filter的实时蠕虫检测系统设计与实现

论文摘要

随着网络技术的广泛应用,越来越多的网络安全事件层出不穷,其中网络蠕虫将是未来一段时间内长期存在并且危害性较大的一种攻击方式,而且蠕虫的产生有逐步上升的趋势。蠕虫在成功地入侵网络主机之后,可以在受到感染的主机上做任何事情,这样就给网络安全造成了很大的危害。尽管人们采取了各种措施,但仍然有可能存在蠕虫制造者可以利用的计算机漏洞。现有比较成熟的反病毒软件可以对已知的网络蠕虫进行查杀,而对未知蠕虫的作用却很小。蠕虫检测的关键问题包括分析蠕虫的工作流程、行为特征和传播模式。蠕虫的传播过程和传播模式都有一定的规律可遵循,掌握这些规律,就能对蠕虫攻击采取有效防御措施。本文对蠕虫的传播模式和功能结构模型等进行了深入研究,并提出一种实时的蠕虫检测实现方案。论文的主要工作和创新点包括:(1)对Bloom Filter进行了分析,特别是对hash函数、Bloom Filter假阳性的计算和检测进行了重点讨论,通过对Bloom Filter高效的查询能力、零假阴性和可计算的假阳性等问题进行深入研究,指出Bloom Filter技术可以用于蠕虫特征码的检测。(2)提出一种实时的蠕虫检测实现方案——WDS(Worm Detection System),该方案基于内容关联分析方法,并对其核心检测硬件加速卡——WHDA(WormDetection Hardware Accelerator)的设计进行了深入分析。最后结合目前FPGA内部的资源情况,深入分析了WDHA网卡采用的Bloom Filter实现方案,并对其假阳性的概率进行了评估。本文的研究结果对利用Bloom Filter实现蠕虫特征码检测、防御未知蠕虫攻击等方面的研究有一定的参考价值。

论文目录

• 摘要
• ABSTRACT
• 第一章 绪论
• 1.1 课题的研究背景
• 1.2 蠕虫工作原理
• 1.3 蠕虫防御研究现状
• 1.4 课题研究内容
• 1.5 论文组织形式
• 第二章 相关研究
• 2.1 蠕虫病毒的传播模式
• 2.1.1 蠕虫的传播过程
• 2.1.2 蠕虫传播模式
• 2.2 蠕虫程序的结构模型
• 2.2.1 蠕虫程序的功能结构
• 2.2.2 蠕虫程序的基本功能
• 2.2.3 蠕虫程序的扩展功能
• 2.3 蠕虫预警方法
• 2.3.1 基于网状关联分析方法
• 2.3.2 基于内容关联分析方法
• 2.4 蠕虫防护的硬件加速
• 第三章 Bloom Filter技术分析
• 3.1 Bloom Filter概念和原理
• 3.1.1 集合表示和元素查询
• 3.1.2 错误率估计
• 3.1.3 最优的哈希函数个数
• 3.1.4 位数组的大小
• 3.2 hash函数
• 3.3 假阳性的计算和检测
• 3.4 计数型Bloom Filter
• 3.5 Bloom Filter的应用
• 第四章 蠕虫实时检测系统WDS的设计
• 4.1 WDS系统简介
• 4.2 WDHA网卡工作原理
• 4.3 蠕虫检测预处理逻辑设计
• 4.3.1 五元组过滤
• 4.3.2 正则表达式匹配
• 4.4 蠕虫检测逻辑设计
• 4.5 WDS系统软件
• 第五章 Bloom Filter在WDHA网卡中的应用
• 5.1 检测的假阳性问题
• 5.2 基于Bloom Filter的解决方案
• 5.3 Bloom Filter的FPGA实现
• 5.4 性能评估
• 第六章 总结与展望
• 6.1 本文工作总结
• 6.2 下一步工作展望
• 致谢
• 参考文献
• 作者在学期间取得的学术成果