蠕蟲病毒特征碼自動提取原理與設(shè)計(jì)

目前網(wǎng)絡(luò)入侵檢測系統(tǒng)（NIDS）主要利用特征碼檢測法來監(jiān)測與阻止網(wǎng)絡(luò)蠕蟲，而蠕蟲特征碼提取仍是效率低的人工過程。為解決這個問題提出了基于陷阱網(wǎng)絡(luò)的蠕蟲特征碼自動提取思想，介紹了原型系統(tǒng)的體系結(jié)構(gòu)和主要算法。該系統(tǒng)利用數(shù)據(jù)包負(fù)載中出現(xiàn)頻率高的字符串來提取蠕蟲特征碼。最后通過實(shí)驗(yàn)結(jié)果分析算法主要參數(shù)對系統(tǒng)的影響。
近幾年爆發(fā)過的一系列蠕蟲病毒給信息社會造成巨大經(jīng)濟(jì)損失，因此對蠕蟲病毒的研究仍然是網(wǎng)絡(luò)安全研究重點(diǎn)。蠕蟲病毒是一種利用軟件漏洞實(shí)現(xiàn)自動傳播和破壞的人為惡意程序。由于同構(gòu)型網(wǎng)絡(luò)環(huán)境中運(yùn)行的操作系統(tǒng)與服務(wù)器軟件缺乏多樣性，因此蠕蟲在Internet 或Intranet 中能夠迅速蔓延。目前主要有以下兩種蠕蟲檢測技術(shù)：流量檢測。在網(wǎng)絡(luò)全局范圍內(nèi)監(jiān)測可疑隨機(jī)掃描流量。如果發(fā)現(xiàn)可疑IP 地址，則將其加入IP 黑名單，列入下一步過濾范圍。對利用隨機(jī)掃描傳播的蠕蟲該技術(shù)十分有效，但是對于郵件病毒和P2P 蠕蟲檢測效果差，由于以上兩類病毒不使用IP 隨機(jī)掃描；另一種技術(shù)是行為檢測。因?yàn)槿湎x病毒是一種非典型性的Internet 應(yīng)用程序，所以在單機(jī)范圍內(nèi)可監(jiān)測其特異程序行為來發(fā)現(xiàn)蠕蟲。
此項(xiàng)技術(shù)缺乏網(wǎng)絡(luò)層次的檢測能力，對蠕蟲檢測存在很大滯后性?？傊M量阻斷被感染主機(jī)試圖與潛在受害主機(jī)的連接是蠕蟲檢測的主要策略[1]。
目前商業(yè)網(wǎng)絡(luò)入侵檢測系統(tǒng)NIDS（Network Intrusion Detection System）多數(shù)采用比較成熟的誤用檢測技術(shù)，檢測網(wǎng)絡(luò)范圍內(nèi)可疑數(shù)據(jù)包，如果發(fā)現(xiàn)與入侵特征庫中相匹配的數(shù)據(jù)包就向網(wǎng)絡(luò)管理員發(fā)出警報(bào)。NIDS 是一種體現(xiàn)主動防御思想的安全工具，其特征規(guī)則檢測法結(jié)合了流量檢測和行為檢測。NIDS的特征規(guī)則一般表示為一個三元組<協(xié)議類型，目標(biāo)端口，字符序列>, 由于蠕蟲通常針對某個端口服務(wù)程序的漏洞來實(shí)現(xiàn)傳播和破壞，因此協(xié)議類型、目標(biāo)端口體現(xiàn)了蠕蟲網(wǎng)絡(luò)層面的特點(diǎn)；另一方面，因?yàn)槿湎x行為的非典型性，比如利用溢出實(shí)現(xiàn)攻擊、自我復(fù)制等功能。所以能夠提取反映該功能的機(jī)器碼序列作為檢測的依據(jù)，這些字符序列即蠕蟲的特征碼?？傊?，NIDS 采用基于內(nèi)容過濾、阻斷的策略防御蠕蟲。
NIDS 檢測的關(guān)鍵是檢測規(guī)則。首先對檢測規(guī)則提取時(shí)間要求高。Internet 主機(jī)對蠕蟲的免疫有很高的時(shí)間要求。對傳播速度慢的蠕蟲要求最多60 分鐘作出免疫反應(yīng)，比如RedCodeII；高速傳播的蠕蟲要求5 分鐘甚至60 秒的免疫時(shí)間。另外特征碼質(zhì)量對NIDS 工作效率影響很大。因此蠕蟲特征碼的提取工作十分重要，現(xiàn)在主要由安全專家人工提取蠕蟲特征碼，這是個費(fèi)時(shí)、枯燥并且技術(shù)水平要求高的工作。
人工提取蠕蟲特征碼需要較長時(shí)間，導(dǎo)致了NIDS 對蠕蟲檢測存在很大滯后性甚至失敗。普通計(jì)算機(jī)病毒特征碼大約有%5 ~ %6 來自陷阱機(jī)Honeypot 捕獲的數(shù)據(jù)，蠕蟲與普通病毒不同，在網(wǎng)絡(luò)中傳播速度快，設(shè)計(jì)精巧的陷阱機(jī)能及時(shí)有效地捕獲到新蠕蟲或蠕蟲變種[2]。本文提出一個基于陷阱網(wǎng)絡(luò)Honeynet 的蠕蟲特征碼自動提取原型系統(tǒng)Cuckoo，描述原型系統(tǒng)的體系結(jié)構(gòu)與自動提取原理，最后通過實(shí)驗(yàn)分析蠕蟲特征碼的質(zhì)量。本文以后各節(jié)組織如下：第二節(jié)，介紹蠕蟲特征碼自動提取的相關(guān)研究；第三節(jié)，闡述了原型系統(tǒng)Cuckoo 的體系結(jié)構(gòu)，特征碼提取的流程與算法，以及特征碼廣譜優(yōu)化策略；第四節(jié)，通過實(shí)驗(yàn)分析原型系統(tǒng)中重要參數(shù)的作用與影響；第五節(jié)，總結(jié)并提出進(jìn)一步研究的設(shè)想。