网络蠕虫检测技术研究

论文摘要

目前的计算机病毒技术与十几年前的计算机病毒技术已经不能同日而语了,其中一个主要区别就是网络蠕虫技术的出现,而且更为严重的是,在过去的几年里,几乎每天都有新的网络蠕虫出现,网络蠕虫技术越来越成熟,其破坏程度也日益严重。本课题的目的正是针对这种情况,致力于全面剖析网络蠕虫,并确定网络蠕虫检测的具体方法。本文通过比较传统计算机病毒和网络蠕虫之间的区别和联系,给出了网络蠕虫的一个定义,并对网络蠕虫和系统漏洞的关系做了阐述;通过对尼姆达(Nimda)蠕虫和震荡波(Sasser)蠕虫的深入剖析,对网络蠕虫的传播机制、攻击模式以及实现技术做了详尽的研究,给出了网络蠕虫的两级结构模型,分析了网络蠕虫SIR及SEM传播模型,阐述了网络蠕虫传播过程中的扫描技术;在传统的入侵检测理论的基础上,研究了系统熵这一统计学模型,并结合网络蠕虫的行为特征以及指数熵的概念,推导出实用的熵值计算公式,开发了高效的网络蠕虫检测系统。通过搭建试验环境并进行网络蠕虫检测系统仿真试验,可以得出结论:本文提出的网络蠕虫检测方法切实可行并具有较高的效率。

论文目录

• 摘要
• Abstract
• 1 绪论
• 1.1 课题研究的背景和意义
• 1.1.1 课题研究的背景
• 1.1.2 网络蠕虫的最新技术及发展趋势
• 1.2 网络蠕虫的基本概念
• 1.2.1 网络蠕虫的定义
• 1.2.2 网络蠕虫与传统病毒的区别与联系
• 1.3 网络蠕虫和系统漏洞之间的关系
• 1.3.1 系统漏洞根据服务划分
• 1.3.2 系统漏洞根据操作系统划分
• 1.3.3 系统漏洞根据漏洞产生的原因划分
• 1.4 网络蠕虫的防范技术
• 1.4.1 及时修补漏洞
• 1.4.2 分析特定网络蠕虫行为
• 1.4.3 破坏网络蠕虫运行环境
• 1.4.4 设立防火墙及路由控制
• 1.4.5 采用IDS技术
• 1.4.6 全局防御
• 1.5 研究内容
• 2 典型网络蠕虫剖析
• 2.1 尼姆达（Nimda）网络蠕虫剖析
• 2.1.1 四个安全漏洞
• 2.1.2 六种传播方式
• 2.1.3 系统感染
• 2.1.4 安装后门
• 2.1.5 Nimda网络蠕虫分析结论
• 2.2 震荡波（Sasser）蠕虫剖析
• 2.2.1 起源与发展
• 2.2.2 LSASS漏洞攻击与传播机制
• 2.2.3 传统解决方案防御Sasser的缺陷
• 2.3 本章小结
• 3 网络蠕虫传播机制
• 3.1 网络蠕虫的两级功能结构模型
• 3.1.1 网络蠕虫的功能分析
• 3.1.2 传播模块
• 3.1.3 生存模块
• 3.1.4 高级模块
• 3.2 网络蠕虫的工作流程
• 3.3 网络蠕虫传播模型
• 3.3.1 网络蠕虫的工作方式
• 3.3.2 网络蠕虫传播SIR模型
• 3.3.3 网络蠕虫传播的SEM模型
• 3.4 网络蠕虫的扫描技术
• 3.4.1 选择性随机扫描（Selective Random Scan）
• 3.4.2 顺序扫描（Sequential Scan）
• 3.4.3 基于目标列表的扫描（Hit-List Scan）
• 3.4.4 基于路由的扫描（Routable Scan）
• 3.4.5 基于DNS扫描（DNS Scan）
• 3.4.6 分治扫描（Divide-Conquer Scan）
• 3.4.7 监听（Listen）和被动式扫描（Passive Scan）
• 3.4.8 扫描策略评价
• 3.5 本章小结
• 4 基于指数熵的网络蠕虫检测方法
• 4.1 网络蠕虫的检测技术
• 4.1.1 特征值检测技术
• 4.1.2 异常检测技术
• 4.2 指数熵的定义
• 4.2.1 传统熵的概念
• 4.2.2 指数熵的定义
• 4.3 基于指数熵的网络蠕虫检测算法
• 4.3.1 IP地址映射函数
• 4.3.2 检测算法
• 4.4 本章小节
• 5 基于指数熵的网络蠕虫检测系统实现
• 5.1 网络蠕虫检测系统概述
• 5.1.1 系统说明
• 5.1.2 系统功能结构
• 5.2 网络蠕虫检测系统设计
• 5.2.1 数据捕获子系统
• 5.2.2 分析计算子系统
• 5.2.3 结果输出子系统
• 5.3 网络蠕虫检测系统实验结果
• 5.3.1 网络蠕虫检测系统流程
• 5.3.2 实验结果分析
• 5.4 本章小节
• 6 总结与展望
• 6.1 工作总结
• 6.2 网络安全问题进一步工作以及展望
• 6.2.1 进一步工作
• 6.2.2 展望
• 致谢
• 参考文献
• 附录