基于行为踪迹的网络蠕虫模型和检测方法

With the rapid development of information technology, Internet worms have threatened the computer system security and network security persistently. Especially on Internet,diverse propagation strategies and complicated application environment make Internet worms with a high frequency and potential and a broad coverage, and the outbreak of Internet worms also causes huge economic losses.This project considers the behavioral footprint model of Internet worms as entry point,which reveals the essence of the spread of Internet worms,and guides the research on Internet worm detection and prevention technology , and lays a good theoretical and practical basis for subsequent research.The worm detection approach of local network based on worm behavioral footprints is presented by the characteristics of worm behaviral footprints and the integration of the Internet worm anomaly detection and worm feature extraction approach.Furthermore,an adaptive distributed worm detection approach based on worm behavioral footprints is proposed. The framework is composed of worm containment agents based on behavioral footprints and the control center administrator.The adaptive adjustability function of the control center administrator is researched under the ideal condition.In reality, the adaptive distributed worm detection algorithm is designed to improve the effectiveness of worm detection.

随着信息技术飞速发展，网络蠕虫对计算机系统安全和网络安全的威胁也日益增加。特别是在网络环境下,多样化的传播策略和复杂的应用环境使得网络蠕虫的发生频率增高,潜伏性变强,覆盖面更广,造成的损失也更大。本课题将网络蠕虫的行为踪迹模型作为切入点，通过网络蠕虫的行为踪迹模型揭示网络蠕虫的传播本质，指导网络蠕虫的检测防御技术的研究，并为后续研究工作奠定良好的理论与实践基础。围绕网络蠕虫行为踪迹的特征，同时融合异常的网络蠕虫检测方法和蠕虫特征提取方法，提出基于行为踪迹的本地网络蠕虫检测方法。更进一步，提出基于行为踪迹的自适应的分布式网络蠕虫检测方法，它的框架由基于行为踪迹的蠕虫抑制代理和控制中心管理器组成。在理想情况下，研究控制中心管理器的自适应调节函数；在现实的分布式系统中，设计自适应的分布式网络蠕虫检测算法来提高蠕虫的检测效率。

随着信息技术飞速发展，网络安全事件却层出不穷，呈逐年递增的趋势。在网络安全问题中,网络恶意代码凭借其扩散速度快、受害面积大、穿透能力深等特点稳居网络安全事件元凶之首。网络蠕虫作为一种重要的恶意代码，爆发后也会造成巨大的经济损失。然而，人们仍然没有完全理解蠕虫的传播行为，目前的网络蠕虫检测技术也总是滞后于网络蠕虫的攻击。. 本项目将网络蠕虫的行为踪迹模型作为切入点，通过对于网络蠕虫行为踪迹进行系统的分类，形式化描述以及数学建模，揭示网络蠕虫的传播本质，指导网络蠕虫的检测防御技术的研究，并为后续研究工作奠定良好的理论与实践基础。. 本项目提出了一种基于行为踪迹分析的网络蠕虫特征自动提取的方法。首先，通过CUSUM算法检测网络中可疑的蠕虫流量。然后，在可疑的蠕虫流量中利用时间关联模型分析网络蠕虫的行为踪迹。最后，运用评判函数确定提取踪迹中网络蠕虫的特征码。实验表明该方法可以准确有效地提取网络蠕虫的特征码，并且得到如下结论：网络蠕虫的行为踪迹不能够准确地区分蠕虫的身份，但是它却能帮助确定蠕虫的特征码的位置，从而有效地提取蠕虫的特征码。. 本项目提出了一种基于行为踪迹的自适应的分布式网络蠕虫检测方法。系统的框架由蠕虫检测代理和控制中心管理器组成。蠕虫检测代理根据网络蠕虫行为对于蠕虫进行预警。控制中心管理器基于接收的蠕虫检测代理的结果自适应地调节蠕虫检测代理。在理想情况下，推导了控制中心管理器的自适应调节函数；在现实的分布式系统中，设计了基于模拟退火遗传算法的自适应分布式网络蠕虫检测算法。实验表明基于模拟退火遗传算法的自适应分布式网络蠕虫检测算法可以准确高效地对于网络蠕虫进行预警。