基于包内容的未知蠕虫发现.pdf

文档介绍：年 月
第 32 卷 第 8 期 计 算 机 工 程 2006 4ey words Unknown worm; Packet content; String matching; Network security

网络蠕虫是通过网络传播无须用户干预能够独立地或 模式下的变化来发现蠕虫 它利用了 Rabin 指纹方法找出包
者依赖文件共享主动攻击的恶意代码 根据蠕虫特征是否已 载荷中重复内容出现 同时用地址数的指数增长来鉴别蠕虫
知 将其区分为已知和未知 对于前者 已有较为成熟的基 交通
于特征的监测策略 对于后者 目前主要采用的有两种策略 Honey-pots 通过监视未用的地址空间 并捕获对这些
事后人工分析和实时自动发现 所谓事后人工分析 即当网 地址的交通量当作蠕虫入侵 即采用了黑名单的方法
络管理员发现异常后 研究网络包 traces 提取蠕虫特征 DEWP[3] 采用两步检测 首先进行端口匹配 确定双
加入特征库 这种办法虽能控制蠕虫的进一步扩散 但是此 向的端口是否一致 然后进行目的地址计数 确定目的地址
时网络的大部分已经被感染了 个数是否有较大增长
而实时自动发现 则是通过流量统计 内容分析等手段 AutoGraph[1] 采用黑名单方式初步确定正进行随机扫描
自动发现蠕虫传播或者自动捕获蠕虫特征 这种方法心须满 的 IP 地址 监控这些地址发送的所有数据包 采用指纹识别
足 可在传播早期发现蠕虫 不需人工介入就可提取蠕虫特 的方法 提取数据包中可疑串 作为蠕虫特征串
征 误报率低