網(wǎng)絡(luò)蠕蟲檢測(cè)系統(tǒng)設(shè)計(jì)

1、網(wǎng)絡(luò)蠕蟲檢測(cè)系統(tǒng)設(shè)計(jì)摘要：以網(wǎng)絡(luò)蠕蟲為主要研究對(duì)象，分析了網(wǎng)絡(luò)蠕蟲的功能結(jié)構(gòu)和傳播流程，同時(shí)通過對(duì)IPv6環(huán)境下網(wǎng)絡(luò)蠕蟲傳播的特殊性研究，建立了一個(gè)新型的網(wǎng)絡(luò)蠕蟲傳播模型。在此基礎(chǔ)上，給出了一種基于指數(shù)熵的網(wǎng)絡(luò)蠕蟲檢測(cè)方法和實(shí)驗(yàn)性研究方法，并對(duì)該方法進(jìn)行了分析、推導(dǎo)以及檢測(cè)。關(guān)鍵詞：網(wǎng)絡(luò)蠕蟲；IPv6;指數(shù)熵0引言IPv4協(xié)議存在很多問題，不能滿足物聯(lián)網(wǎng)對(duì)海量網(wǎng)絡(luò)地址的需求，于是IETF制定了IPv6協(xié)議。雖然IPv6協(xié)議在擁有更寬的地址空間及路由和安全等問題上有了很大改進(jìn)，但是IPv6協(xié)議同樣沒有解決洪泛攻擊、地址假冒、中間人(maninthemiddle)攻擊、應(yīng)用層攻擊、報(bào)文偷看(Sni

2、ffing)等問題，所以網(wǎng)絡(luò)安全問題依然不可輕視。網(wǎng)絡(luò)蠕蟲是繼IPv6協(xié)議后一個(gè)很嚴(yán)重的網(wǎng)絡(luò)安全問題，網(wǎng)絡(luò)蠕蟲并沒有隨著IPv6的出現(xiàn)而消失，大面積的網(wǎng)絡(luò)蠕蟲依然寄生在IPv6協(xié)議的網(wǎng)絡(luò)中。由此，研究IPv6協(xié)議下的網(wǎng)絡(luò)蠕蟲檢測(cè)方法有著非常重要的意義。相關(guān)工作蠕蟲是一種在網(wǎng)絡(luò)中傳播的惡意病毒，它的出現(xiàn)對(duì)于木馬病毒、宏病毒來說比較晚，但是無論從傳播速度、傳播范圍還是從破壞程度上來講，蠕蟲病毒都是以往傳統(tǒng)病毒所無法比擬的1。蠕蟲功能結(jié)構(gòu)國內(nèi)外很多學(xué)者對(duì)蠕蟲的功能結(jié)構(gòu)進(jìn)行了研究，其中一種比較典型的功能結(jié)構(gòu)框架由6個(gè)功能模塊組成2v/sup,分別是：搜索模塊、攻擊模塊、命令行模塊、通信模塊、智能模塊和

3、非攻擊使用模塊。本文結(jié)合當(dāng)前蠕蟲的具體運(yùn)作情況，提出了一種新的蠕蟲功能模型。把它分成了核心模塊和擴(kuò)展模塊兩部分，結(jié)構(gòu)如圖1。蠕蟲工作機(jī)制蠕蟲的工作機(jī)制是將自己從一臺(tái)計(jì)算機(jī)復(fù)制到另一臺(tái)計(jì)算機(jī)，并執(zhí)行預(yù)定操作功能的程序代碼，蠕蟲可以自動(dòng)執(zhí)行，同時(shí)可以自我復(fù)制，系統(tǒng)一旦感染蠕蟲，蠕蟲即可自行傳播。蠕蟲是一種惡性病毒，通過網(wǎng)絡(luò)進(jìn)行傳播，它具有傳播性、隱蔽性、破壞性等病毒的共同特點(diǎn)，同時(shí)也具有一些自身的特性，如不寄生于文件（有的只存在于內(nèi)存中）、與黑客技術(shù)結(jié)合以及對(duì)網(wǎng)絡(luò)拒絕服務(wù)等。例如，蠕蟲可向電子郵件地址簿中的聯(lián)系人發(fā)送自己的副本，那些聯(lián)系人的計(jì)算機(jī)也將執(zhí)行同樣的操作，結(jié)果造成多米諾效應(yīng)（網(wǎng)絡(luò)通信負(fù)擔(dān)

4、沉重），使計(jì)算機(jī)和整個(gè)Internet的速度減慢3v/sup。普通病毒主要針對(duì)計(jì)算機(jī)文件系統(tǒng)進(jìn)行感染，而蠕蟲病毒的傳染目標(biāo)更為廣泛，它包括局域網(wǎng)和互聯(lián)網(wǎng)內(nèi)的所有主機(jī)。系統(tǒng)一旦感染蠕蟲，蠕蟲便將自己從一臺(tái)主機(jī)復(fù)制到互聯(lián)網(wǎng)內(nèi)的另一臺(tái)主機(jī)，實(shí)現(xiàn)自行復(fù)制和傳播。因而從破壞程度上講，蠕蟲病毒比普通病毒嚴(yán)重得多。依托于網(wǎng)絡(luò)的拓展，蠕蟲病毒僅需很短的時(shí)間即可蔓延至整個(gè)網(wǎng)絡(luò)，導(dǎo)致嚴(yán)重的網(wǎng)絡(luò)癱瘓。在局域網(wǎng)環(huán)境中，蠕蟲的傳播也有多種途徑，如共享文件夾、惡意網(wǎng)頁、電子郵件和有漏洞的服務(wù)器等。蠕蟲可在數(shù)小時(shí)內(nèi)蔓延全世界，它們的主動(dòng)攻擊和突然爆發(fā)使網(wǎng)絡(luò)管理員束手無策。同時(shí)，蠕蟲病毒會(huì)占用帶寬和內(nèi)存，很可能致使網(wǎng)絡(luò)和計(jì)算

5、機(jī)崩潰。蠕蟲不必通過“宿主”程序或者文件傳播，它的危害遠(yuǎn)比普通病毒大。網(wǎng)絡(luò)蠕蟲檢測(cè)系統(tǒng)在傳統(tǒng)的網(wǎng)絡(luò)環(huán)境下，蠕蟲經(jīng)常使用隨機(jī)地址掃描方法查找易感染主機(jī)。IPv4協(xié)議使用了32位地址空間，因此利用快速掃描策略，一個(gè)蠕蟲完成對(duì)所有地址空間的掃描僅需幾小時(shí)。而對(duì)于IPv6,因其具有龐大的128位地址空間，基于隨機(jī)掃描的網(wǎng)絡(luò)蠕蟲較難獲取其它主機(jī)地址，因此普遍認(rèn)為IPv6天生具有對(duì)蠕蟲的抵抗能力。然而，隨著網(wǎng)絡(luò)蠕蟲攻擊手段越來越多，蠕蟲病毒在IPv6環(huán)境下的傳播逐漸成為人們關(guān)注的焦點(diǎn)4。2.1IPV6蠕蟲設(shè)計(jì)為了分析蠕蟲在IPv6網(wǎng)絡(luò)中的傳播，本文采用了名為Worm6的三層網(wǎng)絡(luò)蠕蟲模型。這種蠕蟲模型通過使

6、用不同的策略有效地識(shí)別和攻擊目標(biāo)。不同的模型層次具有不同的作用。第一層應(yīng)用于蠕蟲掃描子網(wǎng)之時(shí)。蠕蟲探索隨機(jī)分布在不同子網(wǎng)當(dāng)中的不同主機(jī)。對(duì)于蠕蟲傳播來說，依靠對(duì)主機(jī)自己的域名進(jìn)行隨機(jī)掃描是遠(yuǎn)遠(yuǎn)不夠的。因此，在第二層，每當(dāng)一個(gè)域名主機(jī)被感染了，它會(huì)通過對(duì)應(yīng)的本地掃描策略掃描在當(dāng)前的子網(wǎng)內(nèi)更多的易感染主機(jī)。在因特網(wǎng)蠕蟲的傳播過程中，蠕蟲感染主機(jī)的次數(shù)不止一次，這種情況幾乎不可避免，因此亟需建立一個(gè)機(jī)制，避免主機(jī)在第三層中被反復(fù)感染。Worm6傳播模型如圖2所示。數(shù)據(jù)捕獲模塊網(wǎng)絡(luò)系統(tǒng)存在大量的數(shù)據(jù)包，本模塊主要承擔(dān)部分前期數(shù)據(jù)包捕獲工作，并負(fù)責(zé)將這些預(yù)處理后的數(shù)據(jù)進(jìn)行存儲(chǔ)。數(shù)據(jù)捕獲的結(jié)構(gòu)如圖4所示。

7、本模塊首先對(duì)數(shù)據(jù)包進(jìn)行判斷，提取有用數(shù)據(jù)包，剔除垃圾數(shù)據(jù)包。在相應(yīng)時(shí)間窗口中，取出數(shù)據(jù)包中的源地址、目的地址以及相關(guān)的其他包頭信息，放入IP頭數(shù)據(jù)結(jié)構(gòu)中，然后調(diào)用檢測(cè)算法對(duì)數(shù)據(jù)進(jìn)行處理。數(shù)據(jù)捕獲模塊的工作流程如圖5所示。分析判定模塊在數(shù)據(jù)捕獲模塊完成對(duì)數(shù)據(jù)的捕獲和預(yù)處理之后，分析判定模塊負(fù)責(zé)分配一個(gè)容量為4k的列表以儲(chǔ)存主機(jī)的地址分類，分析數(shù)據(jù)包的源IP地址和目的IP地址。在查看以該主機(jī)為源地址的連接時(shí)，通過調(diào)用地址轉(zhuǎn)換模塊（Hash函數(shù)）計(jì)算連接中目標(biāo)地址的Hash值，記為i，然后將對(duì)應(yīng)于該Hash值的列表項(xiàng)的值加1，然后繼續(xù)考察下一個(gè)以該主機(jī)為源地址的連接。若時(shí)間間隔達(dá)到預(yù)設(shè)的窗口大小，則

8、通過指數(shù)熵函數(shù)計(jì)算該主機(jī)的目標(biāo)地址的熵，與預(yù)先設(shè)定的熵值進(jìn)行比較，若計(jì)算得到的熵值大于網(wǎng)絡(luò)蠕蟲判斷閾值，則判定該主機(jī)異常5。IP地址映射函數(shù)的實(shí)現(xiàn)方法如下：IpConvert（Ip）IpHigh=（Ip&FFFF0000）16；/取高16位，移位IpLow=Ip&0000FFFF；/取低16位IpTemp=IpHigh+IpLow；IpHash=IpTemp%4096；/取余從圖6可以看出，通常流經(jīng)異常目的IP地址的數(shù)據(jù)會(huì)比較分散，而流經(jīng)正常目的IP地址的數(shù)據(jù)則相對(duì)集中。通過以上檢測(cè)算法可以得出，一般情況下，正常主機(jī)的指數(shù)熵介于02之間，異常主機(jī)則通常大于2。結(jié)果輸出模塊分析判定之后，輸出的結(jié)

9、果主要有兩種：一種是同一個(gè)源地址（IP、Mac或Port）下的目的地址（IP、Mac或Port）分布情況，另一種是系統(tǒng)識(shí)別出的蠕蟲分布變化情況。系統(tǒng)測(cè)試環(huán)境與結(jié)果3.1測(cè)試環(huán)境3.2測(cè)試結(jié)果圖7顯示了利用本系統(tǒng)在IPv6環(huán)境下IPv6蠕蟲病毒的檢測(cè)結(jié)果。本文所實(shí)現(xiàn)的系統(tǒng)能捕捉到所有的IP數(shù)據(jù)包。測(cè)試證明，寬帶連接從禁用向啟用切換時(shí)，守護(hù)線程能保證捕捉線程恢復(fù)工作。4結(jié)語本文首先分析了一般網(wǎng)絡(luò)蠕蟲的傳播特性，在現(xiàn)有網(wǎng)絡(luò)蠕蟲技術(shù)的基礎(chǔ)上，提出一種基于指數(shù)熵的網(wǎng)絡(luò)蠕蟲檢測(cè)方法，并設(shè)計(jì)了可應(yīng)用于IPv6環(huán)境下的網(wǎng)絡(luò)蠕蟲檢測(cè)系統(tǒng)，給出了分析推導(dǎo)和檢測(cè)程序設(shè)計(jì)的思路和方法。本文所提出的系統(tǒng)及其方法僅作為實(shí)

10、驗(yàn)性研究，系統(tǒng)完整性設(shè)計(jì)還有待進(jìn)一步完善。參考文獻(xiàn)：AnalysisoftheimpactofheterogeneousnetworkenvironmentonwormpropagationC.ProceedingsoftheThirdInternationalConferenceonMultimediaInformationNetworkingandSecurity，2011.YANGXINFENG，GUOYONGLI，LIUKECHENG.ResearchoncontrolstrategyofwormsspreadincomplexnetworksC.InternationalConferenceonComputerScienceandNetworkTechnology(I