基于序列比對的Zero-day多態(tài)蠕蟲特征自動提取技術(shù).pdf

1、基于特征庫的安全防護(hù)系統(tǒng)(如IDS/IPS、防火墻等)是對抗網(wǎng)絡(luò)攻擊的主要手段,特征的質(zhì)量和數(shù)量決定這類系統(tǒng)的檢測性能。隨著多態(tài)技術(shù)的應(yīng)用,網(wǎng)絡(luò)蠕蟲的感染能力大幅增強(qiáng),初始階段期間其繁殖速度近似指數(shù)增長。因此,如何在蠕蟲傳播的早期快速準(zhǔn)確地提取出特征是防御的關(guān)鍵。傳統(tǒng)依靠安全專家事后分析產(chǎn)生特征,對于新型攻擊和多態(tài)攻擊的檢測具有滯后性,難以保障系統(tǒng)安全。特征自動提取技術(shù)無需人工干預(yù),能快速自動的提取出攻擊特征,是網(wǎng)絡(luò)安全研究領(lǐng)域的熱點(diǎn)和

2、難點(diǎn),具有重要的學(xué)術(shù)價值和廣泛的應(yīng)用前景。本文借鑒生物序列比對的思想,從基于攻擊的特征自動提取角度出發(fā),研究Zero-day多態(tài)蠕蟲的特征自動提取技術(shù)。主要工作如下:
　　 1.結(jié)合多態(tài)蠕蟲的結(jié)構(gòu)特征,分析其保守片段特性；對現(xiàn)有特征自動提取方法進(jìn)行了綜述,并比較分析各自的特點(diǎn)。
　　 2.研究面向特征提取的攻擊數(shù)據(jù)收集方法。精確的樣本數(shù)據(jù)是特征提取的前提和基礎(chǔ),本文從多態(tài)蠕蟲的掃描特性出發(fā),采用基于白名單和IP地址離散熵

3、的方法對數(shù)據(jù)進(jìn)行過濾,并結(jié)合多態(tài)蠕蟲結(jié)構(gòu)特點(diǎn),給出多態(tài)蠕蟲數(shù)據(jù)流維度化表示方法和一種基于加權(quán)模糊聚類的攻擊分類方法,產(chǎn)生攻擊類用于后期特征提取。
　　 3.從生物信息學(xué)視角出發(fā),在對序列比對理論研究的基礎(chǔ)上,結(jié)合多態(tài)蠕蟲自身的特點(diǎn),針對Needleman-Wunsch算法容易造成局部特征片段損失問題,提出一種兩階段多序列比對算法TsMSA(Two-stage Multipie Sequence Alignment),用于Zero