基于序列比對的蠕蟲特征自動提取模型及算法研究.pdf

1、隨著計算機(jī)網(wǎng)絡(luò)的規(guī)模和應(yīng)用范圍的不斷擴(kuò)大,能夠快速傳染的網(wǎng)絡(luò)蠕蟲給計算機(jī)網(wǎng)絡(luò)安全防護(hù)工作帶來極大的挑戰(zhàn)。現(xiàn)有的安全防御工具如入侵檢測系統(tǒng)等大多都是采用基于誤用的檢測技術(shù),即通過匹配蠕蟲數(shù)據(jù)包中的特征進(jìn)行檢測并防御,其防護(hù)能力很大程度上取決于特征的數(shù)量和質(zhì)量。
　　 那種依靠網(wǎng)絡(luò)安全專家在蠕蟲傳染爆發(fā)后對蠕蟲數(shù)據(jù)包和樣本代碼進(jìn)行人工分析進(jìn)而提取特征的方法,已經(jīng)無法有效阻止在數(shù)小時內(nèi)就能夠在全球網(wǎng)絡(luò)范圍內(nèi)傳播而造成巨大損失的蠕蟲。因

2、此對蠕蟲特征自動提取技術(shù)的研究具有非常重要的實際意義。
　　 在分析了蠕蟲的行為、流量特性和現(xiàn)有蠕蟲特征自動提取技術(shù)的基礎(chǔ)上,針對現(xiàn)有蠕蟲特征自動提取系統(tǒng)的預(yù)處理不足以及提取特征準(zhǔn)確度不夠的現(xiàn)狀,本文提出了基于序列比對的蠕蟲特征自動提取模型,并對其中的關(guān)鍵算法和技術(shù)進(jìn)行了研究。
　　 依據(jù)蜜罐捕獲數(shù)據(jù)純度高的特點,本文提出了結(jié)合蜜罐的網(wǎng)絡(luò)流量聚類預(yù)處理方法,即通過把每條網(wǎng)絡(luò)記錄定義為一個四元組進(jìn)行多維層次聚類,把網(wǎng)絡(luò)流量

3、劃分為顯著流量和非顯著流量的方法,以減少后期需要檢測的網(wǎng)絡(luò)流量,然后根據(jù)蠕蟲爆發(fā)時的流量特征,即源、目的IP地址和源、目的端口的隨機(jī)性,對顯著流量進(jìn)行可疑蠕蟲檢測。
　　 在捕獲到的可疑蠕蟲流量樣本上,采用生物信息學(xué)中比對結(jié)果最為精確的T-Coffee多序列比對算法來提取蠕蟲特征。針對其在蠕蟲特征提取的具體應(yīng)用,使用SLA算法構(gòu)造其初級庫,并對T-Coffee中指導(dǎo)樹的生成過程進(jìn)行了改進(jìn),使之更加準(zhǔn)確地指導(dǎo)后續(xù)的漸進(jìn)式比對,進(jìn)而