基于蜜罐技术的蠕虫检测研究

《基于蜜罐技术的蠕虫检测研究》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、哈尔滨T程大学硕：t学位论文虫快速传播策略14J，并预言在30分钟内感染整个互联网的蠕虫即将出现，在蠕虫对抗技术方面则强调蠕虫的检测、分析和响应需要自动化，认为数学建模和仿真是研究蠕虫的主要手段。邹长春以红色代码蠕虫为例，讨论了基于微分方程描述的双因素传播模型，这个模型可以看作是SIR传播模型的一种扩展15J。DavidMoore提出了衡量防范蠕虫技术的有效性的三个参数：响应时间、防范策略、部署策略，但令人失望的是，目前的防御技术在这三个参数上都远达不到对蠕虫防御的要求[61。DugSong等人对蠕虫引起的网络流量统计特征做了研究，力图通过对网

2、络流量的异常检测实现对网络蠕虫的防范。华盛顿大学应用研究室的JohnW．Lockwood等人【7】提出了一种采用可编程逻辑设备对抗蠕虫的防范系统。VincentBerk，GeorgeBakos等人设计的系统主要监视蠕虫访问不存在的网络地址时所引起的目的不可达的ICMP报文以进行蠕虫检测，他们的检测方法需要分布在多个网络范围内的组件进行协同合作。目前国内在这方面的工作也已有开展，但是多数还处于研究和设计阶段，少有成形的商业化产品出现，特别地，专门适用于小型网络环境的蠕虫检测系统国内更是罕有研究，相关的理论研究和文献也屈指可数。传统的蠕虫检测和防御

3、系统大多着眼于实时发现所有的蠕虫攻击，所采用的蠕虫检测方法都是针对大规模网络的算法，要求建立全局控制中心，耗费众多的网络资源监控大量的网络信息。然而，Internet上为数众多的小型组织与个人网络大多无法提供其有效工作所需的大量资源。所以，研究如何在局部小的网络环境中实现一个用户运用少量资源即可对蠕虫进行有效检测和防御的系统便变得迫在眉睫，势在必行。1．3本文所做的工作本文在深入地研究目前网络蠕虫的工作机制、扫描策略，传播特点和攻击过程的基础上，详细地分析了近几年新兴发展起来的蜜罐技术的原理、分类、优缺点及其采用的相关技术，并全面的阐述了当前流

4、行的蠕虫检测技术，并给出了它们各自的优缺点。然后，作者针对当前蠕虫检测系统在小型网络环境下应用的不足，考虑到蜜罐技术无论是在捕获最新的蠕虫攻击还是未知攻击方面都有着其它安全技术不可比拟的优点，结合小型网络的具体需要，3哈尔滨r稃大学硕}学位论文提出了在小型网络中利用蜜罐技术对蠕虫进行检测和防御，设计并构建了一种适合于小型网络环境的蠕虫检测方案，而且实现了部分相关的关键技术，并通过实验证实其初步达到了设计要求，最后对系统的适用性和未来工作给出了自己的看法。本文所做的工作主要有以下几个部分：(1)网络蠕虫的工作机制、传播特点和扫描策略的深入分析；(

5、2)现有蠕虫检测技术的原理及其优缺点的总结：(3)对蜜罐技术的基本原理、关键技术和优缺点的研究与分析；(4)用于小型网络的基于蜜罐技术的蠕虫检测的研究与方案设计；(5)对本文所提出的检测方案的实验验证及该系统适用性的讨论。4哈尔滨T程人学硕十学位论文第2章网络蠕虫及蜜罐技术2．1蠕虫的概念及其工作原理2．1．1蠕虫的概念蠕虫是在1982年被引入到计算机领域的，最初编写蠕虫的目的是为了分布式计算模型的测试，当时蠕虫的破坏性已经初露端倪，但并没有引起研究者的重视和注意。直到1988年Morris蠕虫的爆发，才使得全世界的目光第一次聚集到这种恶意代码

6、的身上来，Spafford为了区分蠕虫和病毒，对蠕虫重新进行了定义，他认为“蠕虫可以独立运行，并且自动复制自身并传播到另一台主机。’’郑辉【8】在他的博士论文中认为蠕虫具有主动攻击、行踪隐蔽、利用漏洞、造成网络拥塞、降低系统性能、产生安全隐患、反复性和破坏性等特征，并给出相应的定义：“网络蠕虫是无须计算机使用者干预即可运行的独立程序，它通过不停地获得网络中存在漏洞的计算机上的部分或全部控制权来进行传播。"文伟平【9l等给出了一个更为完整的网络蠕虫定义，“网络蠕虫是一种智能化、自动化，综合网络攻击、密码学和计算机病毒技术，不需要计算机使用者干预即

7、可运行的攻击程序或代码。它会扫描和攻击网络上存在系统漏洞的节点主机，通过局域网或者国际互联网从一个节点传播到另外一个节点。"该定义体现了新一代网络蠕虫智能化、自动化和高技术化的特征。2．1．2蠕虫的工作机制网络蠕虫的工作机制【loJ如图2．1所示。网络蠕虫攻击行为可以分为四个阶段：信息收集、扫描探测、攻击渗透和自我复制。信息收集主要完成对目标网络和主机的信息汇集。扫描探测主要完成对具体目标主机服务漏洞的检测。攻击渗透利用已发现的服务漏洞实施攻击。自我复制完成对目标节点的感染。网络蠕虫在整个攻击过程中，要向目标网络和目的节点发送大量的服务请求。5

8、哈尔滨T程大学硕十学位论文图2．1网络蠕虫工作机制每一个具体的蠕虫，四个部分会有不同的侧重，有的部分实现的相当复杂，有的部分相当简略。2．1．3典型的