蠕虫病毒的检测和防御研究
青岛科技大学
题目 __________________________________
蠕虫病毒的检测和防御研究
__________________________________
指导教师__________________________
学生姓名__________________________
学生学号__________________________
院（部）____________________________专业________________班___________________________
______年 ___月 ___日
青岛科技大学专科毕业设计论文
蠕虫病毒的检测和防御研究
摘要
随着网络技术的发展，蠕虫病毒不断扩大对网络安全构成了严重的威胁，本文基于当前蠕虫攻击破坏的严峻形势，对蠕虫病毒的检测和防御技术进行了研究。首先对蠕虫病毒相关知识作了介绍，包括蠕虫病毒的定义、工作流程以及行为特征，并简要分析了蠕虫病毒国内外研究现状；在此基础上接着研究了蠕虫病毒检测技术，提出了基于蠕虫特征码、蠕虫行为特征、蜜罐和蜜网技术以及贝叶斯蠕虫检测技术；最后对蠕虫病毒的防御技术进行了研究，从企业网络用户和个人用户的角度分析了面对当前蠕虫攻击所需要注意和采取的措施，以尽最大可能减少蠕虫的侵害，营造一个良好的网络环境。
关键词：蠕虫病毒；检测；防御；网络安全
蠕虫病毒的检测和防御研究
目录
前言 (1)
1蠕虫病毒相关知识介绍 (2)
1.1蠕虫病毒定义 (2)
1.2蠕虫病毒工作流程和行为特征 (2)
1.3蠕虫病毒国内外研究现状 (4)
2蠕虫病毒检测技术研究 (5)
2.1基于蠕虫特征码的检测技术 (5)
2.2基于蠕虫行为特征的检测技术 (5)
2.3基于蜜罐和蜜网的检测技术 (6)
2.4基于贝叶斯的网络蠕虫检测技术 (6)
3蠕虫病毒防御技术研究 (8)
3.1企业防范蠕虫病毒措施 (8)
3.2个人用户防范蠕虫病毒措施 (9)
4总结 (10)
致谢 (11)
参考文献 (12)
青岛科技大学专科毕业设计论文
前言
随着网络技术的发展，人类社会正逐步进入到数字化时代，计算机已经应用到日常生活各个领域，人们在享受到网络便捷服务的同时，各种安全问题也随之出现。从基于DOS界面的病毒发展到今天基于Windows、Unix等操作系统的各种蠕虫、病毒等，在网络的快速发展带动下，使得计算机不断遭受到了非法入侵，不法黑客人员盗取了一些重要信息，甚至造成了操作系统的瘫痪，对个人和企业都带来了相当巨大的经济损失，同时对国家网络安全也构成威胁，带来了无法估计的损失。最早开始的网络蠕虫攻击是发生在1998年的Morris 蠕虫病毒事件，从此后蠕虫病毒的研究成为了一项重要的课题。
2009年中国计算机病毒疫情调查技术的分析报告指出，中国网络安全态势发展进一步加大，网上制作和贩卖蠕虫、病毒以及木马等活动日益严重，并通过这些蠕虫病毒侵害网络的现象日趋上升。2010年上半年期间，CNCERT/CC 一共接收了4780次网络安全的事件报告，相比上一年增长了105%，其中恶意代码占到了57.57%的比例，中国大陆地区有将近124万个IP地址对应的计算机受到了蠕虫木马程序的侵害和控制。近几年，出现了很多病毒和蠕虫危害，比如说尼姆达、熊猫烧香、QQ尾巴、飞客等等，严重影响和干扰了计算机网络安全，侵害了个人和企业以及国家的财产安全，而且蠕虫病毒的网上传播仍然十分猖獗，对网络安全的威胁依然存在。因此，网络蠕虫的研究是我们必须要关心的问题，对蠕虫病毒进行检测和防御技术研究具有重要意义。
基于此研究背景和网络安全形势，本文将对蠕虫病毒的检测和防御技术进行研究。具体包括：
(1)蠕虫病毒相关知识介绍。介绍蠕虫病毒的定义、工作流程以及行为特征，并简要分析国内外研究现状；
(2)蠕虫病毒检测技术研究。介绍基于蠕虫特征码、行为特性等方面的检测控制技术；
(3)蠕虫病毒防御技术研究。从企业网络和个人用户角度，研究防御蠕虫攻击的主要措施。
蠕虫病毒的检测和防御研究
1蠕虫病毒相关知识介绍
1.1蠕虫病毒定义
关于蠕虫病毒的定义很多，最早的定义是Eugene H.Spafford给出的：“蠕虫是可以独立运行的，并且能够自我复制且传播到其他计算机上的一段程序代码”。但是随着网络的发展和科技的进步，蠕虫病毒出现了各种不同的变种，且产生了难以抑制的效果，因此学者们给予了多种多样的定义。Elder 和Kienzle 认为：“网络蠕虫是通过计算机网络来进行传播，无须用户干预就能够独立运行或者依赖文件共享而去主动攻击其他计算机的一种恶意代码的形式”。
尽管蠕虫病毒的形式多种多样，不同学者给出了不同的定义，但是从以上给出的几种定义中可以看出，蠕虫病毒的定义都具有共同的特性，主要体现在以下几个方面：
(1)蠕虫病毒独立运行，不需要用户进行干预；
(2)蠕虫病毒具有自我传播和自我复制的特性，并且传染的方式途径很多，传播的速度较快，对网络和计算机安全破坏性强。
蠕虫一般是通过计算机的漏洞进行传播，国家网络安全中心每年发现的计算机漏洞数量惊人，尤其是近几年来，蠕虫病毒利用了很多零日漏洞进行传播，对网络安全和计算机构成了严重威胁。
1.2蠕虫病毒工作流程和行为特征
(1)蠕虫病毒工作流程
网络蠕虫病毒的工作流程一般可以分为四个阶段：扫描、攻击、处理、复制。扫描主要是对目标地址空间内存在漏洞的计算机，收集相关信息以备攻击电脑，为攻击目标而准备；攻击阶段则是对扫描出的存在漏洞的计算机进行攻击，并感染目标机器；处理阶段隐藏自己在已感染的主机上，并且给自己留下后门，执行破坏命令；复制阶段主要是自动生成多个副本，主动感染其他主机，达到破坏网络的效果。蠕虫病毒的整个工作流程如图1-1所示。
青岛科技大学专科毕业设计论文
图1-1蠕虫病毒工作流程
(2)蠕虫病毒行为特征
通过对网络蠕虫的定义介绍以及工作流程分析，可以归纳出蠕虫的行为主要特性，具体如下：
①自我复制和主动攻击。蠕虫具有自我复制和主动攻击功能，当蠕虫病毒被释放后，它们会自动搜索当前网络系统是否存在机器漏洞，如果存在则进行攻击，反之则寻找新的系统查找漏洞，整个流程都是蠕虫自身完成，不需要人工进行任何干预。
②利用系统漏洞进行攻击。蠕虫通过计算机系统漏洞进行攻击，没有漏洞则不能攻击系统，因此蠕虫最基本的行为特征是利用系统漏洞进行攻击。
蠕虫病毒的检测和防御研究
③极具破坏性。随着网络的发展，蠕虫病毒也越来越具有破坏性，造成了巨大的经济损失，使得计算机系统崩溃，深圳网络瘫痪等情况。
④反复攻击性。即使清理掉了蠕虫病毒被，在计算机重新连接到网络之前没有为之漏洞打补丁，那么这台计算机依然可能会被感染，蠕虫病毒会反复攻击。
⑤使得计算机系统性能下降，整个网络塞堵甚至瘫痪。蠕虫病毒进行攻击之前会进行网络大面积的扫描，对同一个端口不断的发送数据包，造成计算机系统性能下降；当扫描到存在系统漏洞的计算机时会产生额外的网络流量，引起网络拥塞，甚至可能造成瘫痪，带来巨大的经济损失。
⑥很好的伪装以及隐藏方式。蠕虫病毒一般都具有较高隐藏功能，用户不容易发现，不能及时清理，同时它们会在感染计算机系统后留下逃脱后门。
1.3蠕虫病毒国内外研究现状
随着蠕虫病毒的发展，网络安全技术厂商通过结合各种安全技术产品的方式对付蠕虫病毒，其中典型的方式是将网络杀毒软件、终端与防火墙、漏洞扫描系统、入侵检测相结合。2005年以来，产生了很多具有代表性的安全方案，具体地主要有：
2004年底，锐捷网络推出了全局安全网络解决方案，相比于简单的“杀毒软件+防火墙”这种体系来说，其安全措施加强了对于网络终端安全性的控制以及修复。对每个用户计算机加载一个客户端软件，如果发现有蠕虫病毒侵入，立即通知服务器，服务器将会隔离此用户与正常用户，并修复入侵系统漏洞。当修复完成之后，安全客户端软件还会自动重新检测用户系统，在确定系统已解除安全隐患之后才允许再次进入网络。通过这种自动检测和拦截技术，将蠕虫病毒等安全隐患拒之门外，能够防患于未然。
趋势科技公司推出了企业安全防护战略-EPS(Enterprise Protection Strategy)，主要是采用蠕虫病毒入侵检测技术，不断地侦听网络内部是否接入有蠕虫病毒数据包，一旦检测到蠕虫侵入，随即隔离所有的危险设备。
以上对蠕虫病毒的防护技术主要是针对于操作系统的漏洞而检测的，目前，随着科学技术的进步和网络的发展，蠕虫病毒不断扩大的同时检测和防御技术也在不断更新中，蠕虫病毒的研究始终是一项重要的研究内容。
青岛科技大学专科毕业设计论文
2蠕虫病毒检测技术研究
蠕虫技术的不断扩大对网络的安全构成了极大的威胁，甚至有可能带来网络瘫痪，造成巨大的经济损失，因此必须采取有效措施和途径，对网络蠕虫进行检测和控制，下面将对蠕虫病毒的检测技术进行研究。
2.1基于蠕虫特征码的检测技术
基于蠕虫特征码的检测技术是目前使用最多的一种检测技术，其主要手段是通过特征进行匹配。具体的检测原理是：首先收集一些蠕虫恶意代码的特征值，然后在这些特征值的基础上创建相应的特征码规则库，当检测计算机是否受到蠕虫病毒感染或者攻击时，将检测到的网络行为的特征码和特征码规则库中具体规则进行匹配，若是匹配成功则说明该网络存在异常，可能含有蠕虫病毒等危害，应当给出警告提示或者拒绝访问。
由以上检测原理可见，这种检测技术存在一定的限制，只有当特征码规则库中存在恶意行为的特征码规则时，才能够匹配成功，判定该网站存在恶意行为，进行抑制或者反击。在这种情况下，若是有些蠕虫病毒并没有在规则库中匹配成功，不能被检测出来，那么该网络就可以通过检测，对计算机系统造成危害，带来不可预测的经济损失，因此需要对规则库实时进行维护和更新，确保最新的蠕虫病毒特征码存储在特征库中，能够被识别出来。
目前比较熟知的基于蠕虫特征码的检测算法包括Earlybird和Autograh，这两种方法提供实时提取特征码功能，基于Rabin fingerprint算法。当蠕虫病毒变形扩散后，单一连续的字符串不能够作为特征码使用，为此James Newsome提出了著名的Ploygraph检测系统，可以提取出具有蠕虫变形规律的特征码。
2.2基于蠕虫行为特征的检测技术
基于蠕虫行为特征的检测技术主要包括四种方法：统计分类法、简单阈值法、信号处理法以及智能计算法。其中简单阈值法的检测指标是与连接相关的指标，包括连接失败数、连接请求数、ICMP消息数以及连接端口的流量等等。Bakos提出了一种蠕虫行为特征检测技术，利用了ICMP目标主机不可达报文来判断识辨蠕虫的随机扫描行为，并通过信息收集点来收集网络中由路由器产生
蠕虫病毒的检测和防御研究
的这种不可达报文信息，然后统计消息的个数，并和给定的阈值进行比较，以此判断蠕虫是否有传播行为。但是这种方法中如果路由器个数较少，那么收集到的报文信息数就会较少，会影响到判断的准确性。
其他的行为特征检测方法是通过识别网络中不断重复出现的数据包内容进行识别蠕虫病毒，但是由于这些方法在检测时必须要有大量的统计信息，因此在时间上会有一个滞后的过程，造成不能够及时地检测到蠕虫病毒。
2.3基于蜜罐和蜜网的检测技术
1988 年5月，Clifford Stoll提出了蜜罐的概念，并明确指出“蜜罐是一个了解黑客的手段”的一种方法。蜜罐是通过故意设计为一个有缺陷的系统，并且专门用来引诱那些蠕虫攻击者进入到受控环境中，接着充分利用各种监控技术来捕获蠕虫攻击者的行为，获取蠕虫行为特征。其中蜜罐技术是一种虚拟环境，因此不会对真实网络造成瘫痪的影响。目前，蜜罐技术得到了大量应用，在网络安全领域具有十分重要的意义，具体体现为：（1）蜜罐技术不提供真实的检测服务，而是在一个虚拟环境中进行，但是收集信息是真实有效的，并且可以从中捕获蠕虫病毒的行为特性；（2）变被动防御为主动控制；（3）网络蠕虫不能够判断目标系统的具体用途，因此蜜罐技术虚拟环境具有良好的隐蔽性。
随着蜜罐引诱技术的出现，蜜网检测相应产生，其实质仍然是一种蜜罐技术。与传统意义上的蜜罐技术不同的是蜜网检测是一个网络系统，并不仅仅是一台具有系统漏洞的主机，存在一种简单的虚拟环境，此网络系统隐藏在防火墙内，可以监控、捕获以及控制所有进出信息，实现更加强大的蠕虫检测功能。
2.4基于贝叶斯的网络蠕虫检测技术
贝叶斯定理是由英国学者贝叶斯18世纪提出来的，其最初主要是用于概率论和数理统计方面的应用。蠕虫在进行网络传播时，首先会对网络中那些存在漏洞的目标主机发送大量的连接请求数据包，从而判断这些目标主机是否开机、目标主机系统或者应用软件是否存在漏洞，以及是否可以被感染。但是，在实际的网络应用中，网络蠕虫指向的大多数IP地址中的主机根本就不存在，有些要么就没有开机，要么被其它的网络设施所隐藏，比如采用了防火墙或者NAT 设备对其进行了保护，所以网络蠕虫在进行传播的时候，所发送的链接失败的概率也比较大。
青岛科技大学专科毕业设计论文
因为网络蠕虫感染的目的是在最短的时间内让尽可能多的目标主机受到感染，因此在进行传播时，它发送连接请求的时间间隔会非常的短，而正常的主机在进行网络通信的时候，其数据的发送相对比较规律，时间的间隔也比较固定，不会出现大幅度的波动。据此，在进行蠕虫检测时我们把主机发起连接请求的时间间隔作为一个参数。另一方面，在传播蠕虫的过程中，有些蠕虫在扫描阶段会加入一些正常的数据包去避免被检测到，从而引起网络的漏报。之所以会产生这种情况，一个原因就是对当前失败次数的连接没有考虑到历史状态的影响，从而导致检测结果出现问题。而采用贝叶斯的方法来计算数据的概率后可以通过后验的概率去更新先验的概率，从而获得比较高的检测精度。因此我们在进行蠕虫的检测时，通过统计单位时间内针对目标机器的数据连接成功与否，即可对网络蠕虫进行检测。
蠕虫病毒的检测和防御研究
3蠕虫病毒防御技术研究
蠕虫病毒通过各种方式进行检测，往往将多种方法结合，对已知的蠕虫病毒和未知的蠕虫病毒进行检测，然后进行蠕虫控制。然而，除了做好蠕虫检测控制技术外，个人和企业用户等需要积极做好蠕虫防御技术，定时定期清理修复系统漏洞，避免蠕虫的侵害，下面将对蠕虫病毒的防御技术进行讨论。
3.1企业防范蠕虫病毒措施
企业网络的应用广泛，比如文件和打印服务共享、企业的业务系统办公、企业自动化办公系统等领域。如果企业网络受到了蠕虫病毒的侵害，那么蠕虫可以快速阻塞网络，影响网络速度，甚至造成网络瘫痪。因此，企业用户必须考虑蠕虫病毒等危害问题，以保护企业系统内部数据不被侵害。
具体地，企业在考虑如何防范蠕虫病毒时，需要考虑蠕虫病毒的查杀能力、监控能力以及对新病毒的反应能力，同时，对于日常的网络安全管理企业应该采取合理的科学制度，提高员工的网络安全意识，做到以下几点：
(1)加强企业网络安全管理员的管理水平，提高其安全管理意识。蠕虫病毒具有利用系统漏洞进行攻击的行为特性，因此，管理员需要时刻保持系统以及应用软件的安全性，及时地更新操作系统和系统应用程序，修复系统漏洞，不给蠕虫病毒的侵入留下任何可乘之机。随着蠕虫病毒不断扩大，侵害手段也越来越厉害，企业网络所受的攻击概率也越来越大，必须要求企业网络管理员具有很高的管理水平和安全意识。
(2)建立蠕虫病毒检测系统。在修复漏洞的基础上，仍需要对网络中的蠕虫数据包进行实时检测，发现受到蠕虫病毒的攻击后采取相应的隔离和控制措施进行保护，并及时清理病毒，避免扩大。
(3)建立应急响应系统，尽可能减小风险。蠕虫病毒的侵害是不可预测的，具有突然暴发性，若是发现蠕虫侵害时，整个网络已经受到感染，就需要采取应急响应方案，尽可能减小风险损失。
(4)建立数据备份系统。数据备份是很有必要的，若是系统受到攻击数据无法恢复，备份系统可以恢复数据，避免过大的经济损失。
(5)对于企业内部局域网络安全，需要注意在网络入口处安装防火墙软件和杀毒软件，将病毒隔离在局域网之外，同时对网络内部员工进行必要的安全培
青岛科技大学专科毕业设计论文
训，限制一些用户操作，对邮件服务器进行网络监控，防止蠕虫病毒携带进入，对网络内部操作系统进行升级和修复补丁，最大可能地保证企业局域网内的安全性。
3.2个人用户防范蠕虫病毒措施
网络蠕虫病毒攻击个人用户的主要途径是利用社会工程学，通过网络各种形式携带病毒进入个人计算机，因此，个人用户需要从以下几个方面做好防范措施：
(1)安装合适的杀毒软件。蠕虫病毒发展不断扩大，传统的“文件级实时监控系统”杀毒软件已不能满足要求，必须要求具有内存实时监控和邮件实时监控功能的杀毒软件来保护电脑。网页蠕虫的侵害也对杀毒软件提出了更高要求。
(2)升级病毒库。杀毒软件对于蠕虫病毒的查杀是以病毒数据库中的病毒特征码为依据，进行比对查杀，而蠕虫病毒更新速度和传播速度快，变化多种多样，因此，必须实时更新病毒数据库，确保杀毒软件的最新查杀能力。
(3)提高个人网络安全意识。随着网络的发展，网页上出现了各种不良的信息，携带的蠕虫病毒等很多，存在着很多恶意代码，因此，个人用户要有较高的网络安全意识，不轻易查看陌生网站，并把浏览器网络安全级别设置为高，并将ActiveX和Java脚本禁止运行，减小计算机被恶意代码感染攻击的可能性。
(4)不随意查看陌生的邮件。蠕虫病毒往往通过自动发送功能，给用户发送邮件，病毒就携带在其中，尤其是存在不明附件的邮件。用户要经常升级浏览器和补丁程序，防止过多陌生恶意邮件的侵入。
蠕虫病毒的检测和防御研究
4总结
随着网络技术的发展，蠕虫病毒不断扩大，给网络安全带来极大的安全隐患。近年来，世界各国网络都受到了蠕虫病毒的侵害，造成了巨大的经济损失，对蠕虫病毒的研究一直是一项重要的研究课题。
在此研究背景下，本文介绍了蠕虫病毒的相关定义，详细探讨了其工作流程和行为特征，为蠕虫病毒的检测和控制防御技术奠定了基础。然后本文对蠕虫病毒的国内外现状进行了简要分析，网络安全已被各国所重视，在此基础上，对蠕虫病毒的检测技术进行了研究，主要是基于蠕虫特征码、基于蠕虫行为特征、基于蜜罐和蜜网以及基于贝叶斯的网络蠕虫检测技术。最后，本文对蠕虫病毒的防御技术进行了探讨，从企业网络和个人用户角度，详细研究了防御蠕虫病毒侵害需要采取的各项措施。
总之，蠕虫病毒的侵害无时无刻都存在，只有加强对其检测和防御，提高自身安全防护意识，将蠕虫病毒拒之于安全门之外，才能保证网络用户安全，保证企业数据安全，形成一个良好健康的网络环境。
青岛科技大学专科毕业设计论文
致谢
论文的研究工作是在***老师的精心指导下完成的。***老师严谨的治学态度、渊博的学识、敏锐的洞察力和高瞻远瞩的学术思想令人敬佩。本论文从开始思路，到过程中遇到各种问题，到最后的结果完成，都得到了***老师的大力支持。在此，谨对***老师辛勤指导和无私的关怀表示最诚挚的谢意。
感谢父母一直以来对我学业上的鼓励和支持，是您们的关怀让我无忧虑地顺利完成本篇论文。
最后，向所有的论文评审老师并提出宝贵意见的专家们和答辩委员会全体老师表示深深的感谢和敬意!
蠕虫病毒的检测和防御研究
参考文献
[1]马林,王爱文,周燕北等.基于连接度的蠕虫病毒检测方法研究[J]. SILICION
V ALLEY，113-114
[2]彭智朝. 计算机蠕虫病毒检测和防御技术探讨[J]. 电脑知识与技术,
V ol.6,No.8,March 2010, pp.1848-1850
[3] 魏先勇. 蠕虫病毒的安全防范措施[J]. 工业经纬,2008年5月第5卷第1期
[4]余伟,陈保国,孔陶茹.蠕虫病毒的研究和检测防御[J]. 科技创新导
报,2009,No.29
[5] 黄李昌. 网络蠕虫病毒的防御研究[D][硕士学位论文]. 成都：电子科技大学，
2010
[6]崔松江. 网络蠕虫病毒检测方法的研究[D][硕士学位论文]. 北京：清华大学，
2005
[7] Cliff C Zou, Don Towsley, Weibo Gong. A Firewall Network System for Worm
Defense inEnterprise Networks, 34-67
[8] S. Chen and Y. Tang, “Slowing Down Internet Worms ,” in Proceeding of the
24th International conference on Distr ibuted Computing (ICDC’2004), Tokyo, Japan, Mar. 2004,47-87
[9] 杨庆涛. 网络蠕虫的检测技术研究与系统设计[D][硕士学位论文]. 重庆：重
庆大学，2010
[10]常青. 网络蠕虫的检测与控制技术研究[D][硕士学位论文]. 天津：天津理工
大学，2011
蠕虫病毒的特征与防治.doc
研究生课程论文 蠕虫病毒的特征与防治 摘要 随着网络的发展，以网络传播的蠕虫病毒利用网络全球互联的优势和计算机系统及网络系统安全性上的漏洞，己经成为计算机系统安全的一大的威胁。采用网络传播的蠕虫病毒与传统的计算机病毒在很多方面都有许多不同的新特点。本文对蠕虫病毒的特征和防御策略进行了研究，透彻分析了几个流行的蠕虫病毒的本质特征和传播手段，并提出了防治未知病毒以及变形病毒的解决方案与虚拟机相结合的基于攻击行为的着色判决PN机蠕虫检测方法。 关键词: 蠕虫，病毒特征，病毒防治
1引言 “蠕虫”这个生物学名词于1982年由Xerox PARC的John F. Shoeh等人最早引入计算机领域，并给出了计算机蠕虫的两个最基本的特征:“可以从一台计算机移动到另一台计算机”和“可以自我复制”。最初，他们编写蠕虫的目的是做分布式计算的模型试验。1988年Morris蠕虫爆发后，Eugene H. Spafford为了区分蠕虫和病毒，给出了蠕虫的技术角度的定义。“计算机蠕虫可以独立运行，并能把自身的一个包含所有功能的版本传播到另外的计算机上。”计算机蠕虫和计算机病毒都具有传染性和复制功能，这两个主要特性上的一致，导致二者之间是非常难区分的。近年来，越来越多的病毒采取了蠕虫技术来达到其在网络上迅速感染的目的。因而，“蠕虫”本身只是“计算机病毒”利用的一种技术手段[1]。 2蠕虫病毒的特征及传播 1、一般特征: (1)独立个体，单独运行; (2)大部分利用操作系统和应用程序的漏洞主动进行攻击; (3)传播方式多样; (4)造成网络拥塞，消耗系统资源; (5)制作技术与传统的病毒不同，与黑客技术相结合。 2、病毒与蠕虫的区别 (l)存在形式上病毒寄生在某个文件上，而蠕虫是作为独立的个体而存在;
蠕虫病毒的症状
蠕虫病毒是自包含的程序(或是一套程序),它能传播它自身功能的拷贝或它的某些部分到其蠕虫病毒 他的计算机系统中(通常是经过网络连接)。请注意，与一般病毒不同，蠕虫不需要将其自身附着到宿主程序，有两种类型的蠕虫：主机蠕虫与网络蠕虫。主计算机蠕虫完全包含在它们运行的计算机中，并且使用网络的连接仅将自身拷贝到其他的计算机中，主计算机蠕虫在将其自身的拷贝加入到另外的主机后，就会终止它自身(因此在任意给定的时刻，只有一个蠕虫的拷贝运行)，这种蠕虫有时也叫"野兔"，蠕虫病毒一般是通过1434端口漏洞传播。 --------下面是蠕虫病毒的症状看看是不是蠕虫病毒------- 病毒类型：蠕虫病毒 攻击对象：Windows NT 4.0，Windows 2000，Windows XP，Windows Server 2003等传播途径：“冲击波”是一种利用Windows系统的RPC(远程过程调用，是一种通信协议，程序可使用该协议向网络中的另一台计算机上的程序请求服务)漏洞进行传播、随机发作、破坏力强的蠕虫病毒。它不需要通过电子邮件(或附件)来传播，更隐蔽，更不易察觉。它使用IP扫描技术来查找网络上操作系统为Windows 2000/XP/2003的计算机，一旦找到有漏洞的计算机，它就会利用DCOM(分布式对象模型，一种协议，能够使软件组件通过网络直接进行通信)RPC缓冲区漏洞植入病毒体以控制和攻击该系统。 如果真的是蠕虫病毒的话,可以按下面的方法操作: 1.中止进程 按“Ctrl+Alt+Del”组合键，在“Windows 任务管理器”中选择“进程”选项卡，查找“msblast.exe”(或“teekids.exe”、“penis32.exe”)，选中它，然后，点击下方的“结束进程”按钮。 提示：如不能运行“Windows 任务管理器”，可以在“开始→运行”中输入“cmd”打开“命令提示符”窗口，输入以下命令“taskkill.exe /im msblast.exe”(或“taskkill.exe /im teekids.exe”、“taskkill.exe /im penis32.exe”)。 2.删除病毒体 依次点击“开始→搜索”，选择“所有文件和文件夹”选项，输入关键词“msblast.exe”，将查找目标定在操作系统所在分区。搜索完毕后，在“搜索结果”窗口将所找到的文件彻底删除。然后使用相同的方法，查找并删除“teekids.exe“和“penis32.exe”文件。 提示：在Windows XP系统中，应首先禁用“系统还原”功能，方法是：右击“我的电脑”，选择“属性”，在“系统属性”中选择“系统还原”选项卡，勾选“在所有驱动器上关闭系统还原”即可。 如不能运行“搜索”，可以在“开始→运行”中输入“cmd”打开“命令提示符” 窗口，输入以下命令： “del 系统盘符winntsystem32msblast.exe”(Windows 2000系统)或“del系统盘符windowssystemmsblast.exe”(Windows XP系统) 3.修改注册表 点击“开始→运行”，输入“regedit”打开“注册表编辑器”，依次找到“HKEY_LOCAL_MACHINESOFTWARE MicrosoftWindowsCurrentVersionRun”，删除“windows auto update=msblast.exe”(病毒变种可能会有不同的显示内容)。 4.重新启动计算机 重启计算机后，“冲击波”(也就是蠕虫病毒)病毒就已经从系统中完全清除了。
招警考试行测言语理解练习题及详解
招警考试行测言语理解练习题及详解 【例题】在西斯廷礼拜堂的天花板上，文艺复兴时期的艺术巨匠米开朗基罗把他笔下的人物描绘得如此雄壮、有力。在意大利，每当我们看到这些魁伟强劲、丰满秀美的人体艺术作品时，就会深深地感到人类征服自然、改造自然的勇气和力量，使我们对文艺复兴运动与现代体育的渊缘有了更深刻的理解。 这段文字是在谈文艺复兴运动与（）。 A．意大利 B．现代体育 C．人体艺术 D．米开朗基罗 【例题】近日，有能源专家指出，目前全国不少城市搞“光彩工程”，在当前国内普遍缺电的形势下这是不适宜的。按照上海电力部门的测算，上海的灯光工程全部开启后，耗电量将达到20万千瓦时，占整个城市总发电量的2%，相当于三峡电厂目前对上海的供电容量。 这段文字的主旨是（）。 A．搞光彩工程对国家和人民无益 B．现在不宜在各地推广光彩工程 C．上海整个城市的总发电量不高 D．上海的灯光工程耗电量惊人 【例题】现代心理学研究认为，当一个人感到烦恼、苦闷、焦虑的时候，他身体的血压和氧化作用就会降低，而当他心情愉快时整个
新陈代谢就会改善。 根据这段文字我们知道（）。 A．人们可以通过调节心情来调节血压 B．心情好坏与人的身体健康存在密切关系 C．血压和氧化作用降低说明该人心情不好 D．只要心情愉快就可以改善整个新陈代谢 【例题】俄罗斯防病毒软件供应商——卡斯佩尔斯基实验室于6月15日宣布，一个名为29a的国际病毒编写小组日前制造出了世界上首例可在手机之间传播的病毒。卡斯佩尔斯基实验室说，29a小组于15日将这个名叫“卡比尔”的蠕虫病毒的代码发给了一些反病毒厂商，后者确认该病毒具备在手机之间传播的功能。 该段文字作为一则报纸上的新闻，最适合做该段文字题目的是（）。 A．“卡比尔”蠕虫病毒在俄诞生 B．29a的国际病毒编写小组的新贡献 C．世界首例在手机之间传播的病毒诞生 D．反病毒厂商确认手机之间可传播病毒 【例题】有一种很流行的观点，即认为中国古典美学注重美与善的统一。言下之意则是中国古典美学不那么重视美与真的统一。笔者认为，中国古典美学比西方美学更看重美与真的统一。它给美既赋予善的品格，又赋予真的品格，而且真的品格大大高于善的品格。概而言之，中国古典美学在对美的认识上，是以善为灵魂而以真为境界的。
蠕虫病毒
【摘要】：凡能够引起计算机故障，破坏计算机数据的程序统称为计算机病毒。所以从这个意义上说，蠕虫也是一种病毒。蠕虫病毒，作为对互联网危害严重的一种计算机程序，其破坏力和传染性不容忽视。与传统的病毒不同，蠕虫病毒以计算机为载体，以网络为攻击对象。本文主要介绍蠕虫病毒的分类、概念、特点传播途径、典型蠕虫、防范措施和发展趋势等。 【关键词】：蠕虫病毒影响防范发展
目录 第一章蠕虫病毒概述 (1) 1.1 蠕虫病毒的概念 (1) 1.2 蠕虫病毒的成因 (1) 1.3 蠕虫病毒的特性 (1) 第二章蠕虫病毒分析 (2) 2.1 蠕虫病毒分类分析 (2) 2.1.1主机蠕虫 (2) 2.1.2 网络蠕虫 (2) 2.2 蠕虫病毒传播途径 (2) 2.3 典型蠕虫病毒 (3) 2.3.1 熊猫烧香病毒的概念 (3) 2.3.2 熊猫烧香病毒的危害 (3) 2.3.3熊猫烧香病毒的现象 (3) 第三章蠕虫病毒的防范 (5) 3.1 怎样防范蠕虫病毒 (5) 3.2 蠕虫病毒的解决方案（例：熊猫烧香病毒） (6) 第四章蠕虫病毒发展趋势 (11) 参考文献 (12)
第一章蠕虫病毒概述 1.1 蠕虫病毒的概念 1.2 蠕虫病毒的成因 利用操作系统和应用程序的漏洞主动进行攻击此类病毒主要是“红色代码”和“尼姆亚”，以及依然肆虐的“求职信”等。由于IE浏览器的漏洞（IFRAMEEXECCOMMAND），使得感染了“尼姆亚”病毒的邮件在不去手工打开附件的情况下病毒就能激活，而此前即便是很多防病毒专家也一直认为，带有病毒附件的邮件，只要不去打开附件，病毒不会有危害。“红色代码”是利用了微软IIS服务器软件的漏洞(idq.dll远程缓存区溢出)来传播，SQL蠕虫王病毒则是利用了微软的数据库系统的一个漏洞进行大肆攻击。 1.3 蠕虫病毒的特性 蠕虫和传统病毒都具有传染性和复制功能，这两个主要特性上的一致，导致人们在二者之间非常难区分。尤其是近年来，越来越多的传统病毒采取了部分蠕虫的技术，而具有破坏性的蠕虫也采取了部分传统病毒的技术，从而更加剧了这种情况。表1-2给出了传统病毒和蠕虫病毒的一些差别。
关于网络蠕虫及防范
关于网络蠕虫及防范 近年来，随着互联网产业的飞速发展，人们生活以及经济的发展与互联网越来越密切。计算机和网络已经成为社会不可或缺的重要部分，而互联网的安全问题也随之而来。网络安全问题受到众多复杂的因素影响，如目前网络安全政策不健全，计算机软件漏洞多和计算机用户安全常识缺乏等，这些因素都导致互联网上的安全事故不断爆发。其中，网络蠕虫是最重大的安全隐患之一。网络蠕虫不同于普通的电脑病毒，它能够以极快的速度在网络上传播，感染大量的个人用户和企业计算机系统，造成用户的资料受损，网络瘫痪以及其他不可估量的经济损失。 对于其中进行恶意侵犯的，我们首当其冲想到了黑客。黑客一词起源于20世纪50年代，最初的黑客一般都是一些高级的技术人员，他们热衷于挑战、崇尚自由并主张信息的共享。但随着网络技术的越来越发达，人们的生活越来越和网络接轨，其中就产生了第三方的经济等效益。于是，黑客便兴起了，逐渐形成了黑帽子，白帽子，灰帽子。 同时，随着黑客们对个人用户及企业的计算机的入侵，网络蠕虫便诞生了。它与病毒是存在区别的，两者是不同的。一般认为，蠕虫是一种通过网络传播的恶性型病毒，它不但具有病毒的一些共性而且还具有自己的一些特性。如不利用文件寄生，对网络造成拒绝服务，以及和黑客技术相结合等。目前危害比较大的蠕虫病毒主要通过三种途径传播：系统漏洞，聊天软件和电子邮件。 对于网络蠕虫，我们需要做好防范措施。对于一些不知名的邮件和充满诱惑力的邮件，我们要学会选择性的筛选一下，在进行观看。同时，要对一些网站以及别人发过来的东西进行谨慎的下载观看。同时，随着网络蠕虫的发展，我们更需要对电脑进行杀毒处理。虽然国外有一款杀毒软件效果非常不错，但是，随着发展，现在中国市场上的杀毒软件也做的非常不错。有金山毒霸等等。现在，大多数人或许都用的是360杀毒软件吧。不过，不管使用的是哪一款杀毒软件，最重要的是要常常更新病毒库，随着一些新病毒的发现，漏洞的发现，病毒库的更新就显得尤为重要了。 谢谢。
蠕虫病毒的检测和防御研究
青岛科技大学 业设计（论文） 专科毕 蠕虫病毒的检测和防御研究 __________________________________ 指导教师__________________________ 学生姓名__________________________ 学生学号__________________________ 院（部）____________________________专业________________班___________________________ ______年 ___月 ___日
蠕虫病毒的检测和防御研究 摘要 随着网络技术的发展，蠕虫病毒不断扩大对网络安全构成了严重的威胁，本文基于当前蠕虫攻击破坏的严峻形势，对蠕虫病毒的检测和防御技术进行了研究。首先对蠕虫病毒相关知识作了介绍，包括蠕虫病毒的定义、工作流程以及行为特征，并简要分析了蠕虫病毒国内外研究现状；在此基础上接着研究了蠕虫病毒检测技术，提出了基于蠕虫特征码、蠕虫行为特征、蜜罐和蜜网技术以及贝叶斯蠕虫检测技术；最后对蠕虫病毒的防御技术进行了研究，从企业网络用户和个人用户的角度分析了面对当前蠕虫攻击所需要注意和采取的措施，以尽最大可能减少蠕虫的侵害，营造一个良好的网络环境。 关键词：蠕虫病毒；检测；防御；网络安全
目录 前言 (1) 1蠕虫病毒相关知识介绍 (2) 1.1蠕虫病毒定义 (2) 1.2蠕虫病毒工作流程和行为特征 (2) 1.3蠕虫病毒国内外研究现状 (4) 2蠕虫病毒检测技术研究 (5) 2.1基于蠕虫特征码的检测技术 (5) 2.2基于蠕虫行为特征的检测技术 (5) 2.3基于蜜罐和蜜网的检测技术 (6) 2.4基于贝叶斯的网络蠕虫检测技术 (6) 3蠕虫病毒防御技术研究 (8) 3.1企业防范蠕虫病毒措施 (8) 3.2个人用户防范蠕虫病毒措施 (9) 4总结 (10) 致谢 (11) 参考文献 (12)
蠕虫的行为特征描述和工作原理分析
蠕虫的行为特征描述和工作原理分析* 郑辉＊＊ 李冠一 涂菶生 （南开大学 20-333# ，天津，300071） E-mail: zhenghui@https://www.docsj.com/doc/6d14710963.html, https://www.docsj.com/doc/6d14710963.html,/students/doctor/spark/zhenghui.htm 摘要：本文详细讨论了计算机蠕虫和计算机病毒的异同，指出它们除了在复制和传染方面具有相似性之外，还有很多不同点，如蠕虫主要以计算机为攻击目标，病毒主 要以文件系统为攻击目标；蠕虫具有主动攻击特性，而病毒在传播时需要计算机 使用者的触发。通过详细区分它们的不同行为特征，确定了在计算机网络安全防 范体系中不同角色的责任。然后描述了蠕虫发展的历史，从中可以看到，蠕虫产 生了越来越大的危害。通过分析计算机蠕虫的工作原理、功能结构、实体组成， 提出了蠕虫的统一功能结构模型，并给出了有针对性的对计算机蠕虫攻击进行防 范的措施。最后本文分析了一些新的蠕虫技术发展趋势，指出计算机蠕虫本质上 是黑客入侵行为的自动化，更多的黑客技术将被用到蠕虫编写当中来，由此可以 看出对蠕虫攻击的防治和对抗将是长期而困难的工作。 关键词：蠕虫，计算机病毒，计算机网络安全，蠕虫定义，蠕虫历史，行为特征，功能模型 一、 引言 计算机病毒给世界范围内的计算机系统带来了不可估量的危害，给人们留下了深刻的印象。同时给人们一种误解，认为危害计算机的程序就是病毒。从而不加区分把计算机病毒（Virus）、计算机蠕虫（Worm）、木马程序（Trojan Horse）、后门程序（Backdoor）、逻辑炸弹（Logic Bomb）等等这些概念都称为计算机病毒。这种误解不仅体现在媒体的宣传中，而且体现在病毒技术研究人员的文章[1][2]中，反病毒厂商对产品的介绍说明中，甚至政府部门制定的法律法规[3]当中。这种相近概念上的误解导致不能有效的给出针对不同类型危害计算机安全的程序的有效防治措施，也为整体的计算机安全防护带来了一定困难。另外，同一程序的不同分类也不利于对其性质的进一步研究和分析。 计算机病毒和计算机蠕虫在传播、复制等特性上非常相似，尤其容易造成人们的误解。导致误解的原因有很多，一方面由于反病毒技术人员自身知识的限制，无法对这两种程序进行清楚细致的区分；另一方面虽然病毒的命名有一定的规范[4][5]，但病毒编写者在为自己的程序起名字的时候并不一定遵循这个规范，利用网络功能如电子邮件进行传播的病毒常常被病毒编写者冠以蠕虫的名字，这也给人们带来一些误导。为了照顾这种病毒的命名，曾有文献试图将蠕虫细分为活动蠕虫和邮件蠕虫[6]。由于用计算机病毒这个称谓不能涵盖所有危害计算机的程序的特征，而且容易产生误导，所以有的文献采用了含义更广泛的称谓“恶意软件”（malware）[7]来统一称呼它们。从蠕虫产生开始，十几年来，很多研究人员对蠕 *高等学校博士点学科点专项科研基金资助课题（编号：2000005516）。 **作者简介：郑辉（1972～），男，吉林伊通人，博士研究生，主要研究领域为网络与信息安全。李冠一（1978～），女，辽宁鞍山人，硕士研究生，主要研究领域为模式识别，计算机视觉与图像处理等。涂奉生（1937～），江西南昌人，博士生导师，主要研究领域为CIMS， DEDS理论，制造系统及通讯理论。
局域网蠕虫病毒的传播方式和保护方法
局域网蠕虫病毒的传播方式和保护方法 近来，威金(w32.looked系列)、熊猫烧香（w32.fujacks系列）等局域网蠕虫病毒大肆流行，这种病毒具有传播速度快，覆盖面广，破坏性大，自我恢复功能强等特点，并且还会自动连接到Internet升级变种并下载其它木马和恶意软件，给广大计算机用户带来了很大的麻烦。良好的基本安全习惯配合具有最新病毒定义和扫描引擎的杀毒软件，能够最大限度地保护您的电脑不受此类蠕虫病毒的影响，以及重复感染。了解蠕虫病毒的在局域网内传播机制，能让我们采用更有针对性的防护，下面就介绍这种局域网蠕虫的传播机制和保护方法：局域网蠕虫的传播安先后顺序分为扫描、攻击、复制三个过程。假设您局域网中有一台电脑感染了蠕虫，而这台脑又没有安装杀毒软件或者杀毒软件的病毒定义比较旧，没有办法检测出这个蠕虫病毒，那么它就会成为一个局域网内的攻击源。 第一步：扫描的过程就是用扫描器扫描主机，探测主机的操作系统类型、版本，主机名，用户名，开放的端口，开放的服务，开放的服务器软件版本等。这一过程中，扫描的范围一般是随机选取某一段IP地址，然后对这一地址段上的主机扫描。但是有些蠕虫会不断的重复扫描过程，就会造成发送大量的数据包，造成网络拥塞，影响网络通信速度等危害。但是这样，管理员也会很快找出感染源所在的地址，因此有些蠕虫会有意的减少数据发送量，包括不重复扫描几次以上，随机选择扫描时间段，随机选择小段IP地址段等等。根据扫描返回的结果确定可以攻击的电脑。
第二步：攻击的过程一般分为两种类型。一种是利用漏洞的攻击，如果扫描返回的操作系统信息或者某些软件的信息是具有漏洞的版本，那么就可以直接用对该漏洞的攻击代码获得相应的权限。例如利用windows的MS04-011漏洞的震荡波（w32.sasser系列）病毒，利用MS06-040漏洞的魔鬼波 （w32.ircbot系列）等。另外一种就是基于文件共享和弱密钥的功击，这种攻击需要根据搜集的信息试探猜测用户密码，一般的蠕虫都有试探空密码，简单密码，与已知密码相同密码等机制。猜出正确的密码后也就有了对远端主机的控制权。威金、熊猫烧香等病毒都基于这种攻击方式。 第三步：复制的实际上就是一个文件传输的过程，就是用相应的文件传输的协议和端口进行网络传输。 为了防止您的电脑受到局域网蠕虫病毒的攻击而感染此类病毒，赛门铁克现建议用户采取以下基本安全措施：1）开启个人防火墙：无论是SCS的防火墙，还是其它安全厂商的个人防火墙，还是windows系统自带的防火 墙，都可以对扫描、攻击、复制三个过程起到保护的 作用。例如，在一般的默认规则下，供击者扫描后不 会得到返回结果；攻击代码不会到达被防火墙保护的 电脑；无法向被防火墙保护的电脑复制病毒文件等。 如果管理员根据公司的应用情况和针对某类病毒，设 定诸如一些协议、端口、程序、入侵检测等的防护规 则，其防护效果就会更佳。 2）尽量关闭不需要的文件共享。除了用户自行设定的共享文件windows操作系统一般都有C$, D$,ADMIN$, IPC$等默认的共享，而一般情况下普通用户不一定需
蠕虫和普通病毒的区别 及防范措施
蠕虫和普通病毒的区别及防范措施 蠕虫和普通病毒区别 对于防毒杀毒长久以来都是计算机使用者比较头疼的问题，很多人都存在以上的疑问和误区。针对近年来，病毒开始由传统形向网络蠕虫和隐蔽的木马病毒发展，笔者这篇文章就以这两个祸害开刀，和大家一步一步谈谈从杀到防搞定病毒。 一、先来看看蠕虫 随着我国宽带爆炸式的发展，蠕虫病毒引起的危害开始快速的显现！蠕虫是一种通过网络传播的恶性病毒，它具有病毒的一些共性，如传播性，隐蔽性，破坏性等等，同时具有自己的一些特征，如不利用文件寄生（有的只存在于内存中），快速的自身复制并通过网络感染，以及和黑客技术相结合等等！在产生的破坏性上，蠕虫病毒也不是普通病毒所能比拟的，网络的发展使得蠕虫可以在短短的时间内蔓延整个网络，造成网络瘫痪。相信以前的冲击波、震荡波大家一定还没忘记吧。 1、蠕虫和普通病毒区别 2、传播特点 蠕虫一般都是通过变态的速度复制自身并在互联网环境下进行传播，目标是互联网内的所有计算机。这样一来局域网内的共享文件夹，电子邮件，网络中的恶意网页，大量安装了存在漏洞操作系统的服务器就都成为蠕虫传播的良好途径，使得蠕虫病毒可以在几个小时内蔓延全球!而且蠕虫的主动攻击性和突然爆发性将使得人们手足无策!这其中通过操作系统漏洞或者通过IE漏洞攻击的方式最为常见。 3、蠕虫的预防解决 蠕虫和普通病毒不同的一个特征是蠕虫病毒往往能够利用漏洞，这里的漏洞或者说是缺陷，我们分为2种：软件的和人为的。 软件上的缺陷，如系统漏洞，微软IE和outlook的自动执行漏洞等等，需要大家经常更新系统补丁或者更换新版本软件。而人为的缺陷，主要是指的是计算机用
户的疏忽。例如，当收到QQ好友发来的照片、游戏的时候大多数人都会报着好奇去点击的，从而被感染上了病毒。 蠕虫病毒的防范措施 二、个人用户对蠕虫病毒的防范措施 通过上述的分析，我们了解蠕虫的特点和传播的途径，因此防范需要注意以下几点： 1、选择合适的杀毒软件 杀毒软件必须提供内存实时监控和邮件实时监控以及网页实时监控！国产软件无论是在功能和反应速度以及病毒更新频率上都做的不错，相对国外的反病毒软件他们对于像QQ这类国产病毒具有明显优势，同时消耗系统资源也比较少，大家可以放心使用。 2、经常升级病毒库 没有最新病毒库的杀毒软件就好比没有瞄准器的狙击枪，病毒每天都层出不穷，再加上如今的网络时代，蠕虫病毒的传播速度快，变种多，所以必须随时更新病毒库，以便能够查杀最新的病毒! 3、提高防患意识 不要轻易接受任何陌生人的邮件附件或者QQ上发来的图片，软件等等。必须经过对方的确认（因为一旦对方中毒后他的QQ会自动向好友发送病毒，他自己根本不知道，这个时候只要问一问他本人就真相大白！），或者此人是你绝对可以相信的人！另外对于收发电子邮件，笔者强烈建议大家通过WEB方式（就是登陆邮箱网页）打开邮箱收发邮件（这样比使用Outlook和foxmail更安全）。虽然杀毒软件可以实时监控但是那样不仅耗费内存，也会影响网络速度！ 4、必要的安全设置 运行IE时，点击“工具→Internet选项→安全”，把其中各项安全级别调高一级。在IE设置中将ActiveX插件和控件、Java脚本等全部禁止就可以大大减少被网页恶意代码感染的几率。具体操作是：在IE窗口中点击“工具”→“Internet 选项”，在弹出的对话框中选择“安全”标签，再点击“自定义级别”按钮，就会弹出“安全设置”对话框，把其中所有ActiveX插件和控件以及与Java相关全部选项选择“禁用”。但是，这样做在以后的网页浏览过程中有可能会使一些正常应用ActiveX的网站无法浏览。 5、第一时间打上系统补丁 虽然看上去可怕，但是细心的朋友注意蠕虫攻击系统的途径可以看出：最主要的方式就是利用系统漏洞，因此微软的安全部门已经加大了系统补丁的推出频率，大家一定要养成好习惯，经常的去微软网站更新系统补丁，消除漏洞（通过点击开始上端的“windows Update”）
网络异常流量检测研究
网络异常流量检测研究 摘要:异常流量检测是目前IDS入侵检测系统)研究的一个重要分支,实时异常检测的前提是能够实时,对大规模高速网络流量进行异常检测首先要面临高速流量载荷问题,由于测度、分析和存储等计算机资源的限制,无法实现全网络现流量的实时检测,因此,抽样测度技术成为高速网络流量测度的研究重点。 关键词:网络异常流量检测 一、异常流量监测基础知识 异常流量有许多可能的来源,包括新的应用系统与业务上线、计算机病毒、黑客入侵、网络蠕虫、拒绝网络服务、使用非法软件、网络设备故障、非法占用网络带宽等。网络流量异常的检测方法可以归结为以下四类:统计异常检测法、基于机器学习的异常检测方法、基于数据挖掘的异常检测法和基于神经网络的异常检测法等。用于异常检测的5种统计模型有:①操作模型。该模型假设异常可通过测量结果和指标相比较得到,指标可以根据经验或一段时间的统计平均得到。②方差。计算参数的方差,设定其置信区间,当测量值超出了置信区间的范围时表明可能存在异常。③多元模型。操作模型的扩展,通过同时分析多个参数实现检测。④马尔可夫过程模型。将每种类型事件定义为系统状态,用状态转移矩阵来表示状态的变化。若对应于发生事件的状态转移矩阵概率较小,则该事件可能是异常事件。⑤时间序列模型。将测度按时间排序,如一新事件在该时间发生的概率较低,则该事件可能是异常事件。 二、系统介绍分析与设计 本系统运行在子网连接主干网的出口处,以旁路的方式接入边界的交换设备中。从交换设备中流过的数据包,经由软件捕获,处理,分析和判断,可以对以异常流量方式出现的攻击行为告警。本系统需要检测的基本的攻击行为如下:(1)ICMP 攻击(2)TCP攻击,包括但不限于SYN Flood、RST Flood(3)IP NULL攻击(4)IP Fragmentation攻击(5)IP Private Address Space攻击(6)UDP Flood攻击(7)扫描攻击不同于以特征、规则和策略为基础的入侵检测系统(Intrusion Detection Systems),本研究着眼于建立正常情况下网络流量的模型,通过该模型,流量异常检测系统可以实时地发现所观测到的流量与正常流量模型之间的偏差。当偏差达到一定程度引发流量分配的变化时,产生系统告警(ALERT),并由网络中的其他设备来完成对攻击行为的阻断。系统的核心技术包括网络正常流量模型的获取、及对所观察流量的汇聚和分析。由于当前网络以IPv4为主体,网络通讯中的智能分布在主机上,而不是集中于网络交换设备,而在TCP/IP协议中和主机操作系统中存在大量的漏洞,况且网络的使用者的误用(misuse)也时有发生,这就使得网络正常流量模型的建立存在很大的难度。为达到保障子网的正常运行的最终目的,在本系统中,采用下列方式来建立多层次的网络流量模型: (1)会话正常行为模型。根据IP报文的五元组(源地址、源端口、目的地址、
渗透SCADA工控系统过程解析
渗透SCADA工控系统过程解析 背景资料 Stuxnet蠕虫病毒(超级工厂病毒)是世界上首个专门针对工业控制系统编写的破坏性病毒，能够利用对windows系统和西门子SIMATIC WinCC系统的7个漏洞进行攻击。特别是针对西门子公司的SIMATIC WinCC 监控与数据采集 (SCADA) 系统进行攻击，由于该系统在我国的多个重要行业应用广泛，被用来进行钢铁、电力、能源、化工等重要行业的人机交互与监控。传播途径：该病毒主要通过U盘和局域网进行传播。历史“贡献”：曾造成伊朗核电站推迟发电。 2010-09-25，进入中国。 一直以来，2010年发生的Stuxnet案件被安全专家认为是一场有目的性的网络战争，攻击者使用一个精心设计的恶意软件打击在伊朗核工厂内SCADA系统。 尽管在多数情况下，SCADA工控系统扮演着相当重要的角色，但是在黑客眼中他们并不安全。 渗透过程 下面这个SCADA系统是我在互联网上找到的：iLON100 echelon SCADA system. 要进行目标识别，各研究必须被限制在一个特定的IP范围内，在此范围内进行扫描;要辨识出该范围，黑客需要一个ISP实例;
通过分析服务器响应，我们发现有些响应包头中包含WindRiver-WebServer，并且在 WWW-Authentication使用Basic realm-”i.LON”，我们从而选择这些目标。 选中的目标运行echelon Smart server 2.0，这个版本服务器包含一系列0day漏洞并且在一段时间以前刚刚公布了一个。
在一些研究之后，黑客发现了WindRiver防火墙源代码WindRiver firewalls，地址为WindRiver-Firewall-Source. 接下来攻击者就需要对最终目标执行exploit 在公开的报告中我们可以看到，SCADA中许多设备admin控制台被攻击者控制
计算机病毒种类和杀毒软件分析
计算机病毒种类和杀毒软件分析 摘要：随着经济的发展，人民物质文化水平的提高，计算机逐渐融入到人们的生活和工作中，其应用范围遍及各个领域。人们享受这计算机给我们带来生活的各种便利，我们感叹于它的先进、便利、迅速。但是，一个事物的存在总有其不利的一面，技术的发展也促使计算机病毒的异军突起，越来越多的人备受计算机病毒的困扰，新病毒的更新日益加快，如何防范和控制计算机病毒越来越受到重视，许多软件公司也推出了不同类型的杀毒软件。 关键字：计算机、病毒、杀毒软件 计算机病毒一直是计算机用户和安全专家的心腹大患，虽然计算机反病毒技术不断更新和发展，但是仍然不能改变被动滞后的局面，计算机用户必须不断应付计算机新病毒的出现。互联网的普及，更加剧了计算机病毒的泛滥。那么，计算机病毒究竟是什么呢？能让如此多的人备受困扰，下面，我想探讨一下计算机病毒 计算机病毒，是指一种认为编制能够对计算机正常程序的执行或数据文件造成破坏，并能自我复制的一组计算机指令或者程序代码。病毒之所以令如此多的额人惧怕，是因为它具有传染性、隐蔽性、潜伏性、寄生性、破坏性、不可预见性等特征。病毒具有把自身复制到其他程序中的能力，以它或者自我传播或者将感染的文件作为传染源，并借助文件的交换、复制再传播，传染性是计算机病毒的最大特征。病毒一般附着于程序中，当运行该程序时，病毒就乘机执行程序。许多计算机病毒在感染时不会立刻执行病毒程序，它会等一段时间后，等满足相关条件后，才执行病毒程序，所以很多人在感染病毒后都是不知情的，当病毒执行时为时已晚。寄生性是指计算机病毒必须依附于所感染的文件系统中，不能独立存在，它是随着文件系统运行而传染给其他文件系统。任何病毒程序，入侵文件系统后对计算机都会产生不同程度的影响，一些微弱，一些严重。计算机病毒还具有不可预见性，随着技术的提高，计算机病毒也在不断发展，病毒种类千差万别，数量繁多，谁也不会知道下一个虐遍天下的病毒是什么。 尽管计算机病毒种类繁多，按照其大方向还是可以对计算机病毒进行分门别类。 按计算机病毒的链接方式分类可分为： 1)源码型病毒。该病毒主要攻击高级语言编写的程序，这种病毒并不常见，它不是感染可 执行的文件，而是感染源代码，使源代码在编译后具有一定的破坏/传播或者其他能力。 2)嵌入型病毒。该类病毒是将自身嵌入现有程序当中，把计算机病毒的主体程序与其攻击 的对象以插入的方式链接。一旦被这种病毒入侵，程序体就难以消除它了。 3)外壳型病毒。它是将自身包围在程序周围，对原来的程序不作修改。这种病毒最为常见， 最易编写，也最易发现，一般测试文件的大小即可。 4)操作系统病毒。这种病毒在运行时，用自己的逻辑部分取代操作系统的合法程序模块， 破坏力极强，可致系统瘫痪。圆点病毒和大麻病毒就是典型的操作系统病毒 按计算机病毒的破坏性分类 1)良性计算机病毒。良性与恶性是相对而言的，良性并不意味着无害。而良性病毒为了表 现其存在，不停地进行扩散，从一台计算机转移到另一台，并不破坏计算机内部程序，但若其取得控制权后，会导致整个系统运行效率减低，系统可用内存减少，某些程序不能运行。 2)恶性计算机病毒。是指在其代码中含有损伤和破坏计算机系统的操作，在其传染或发作 时会对系统产生直接的破坏作用，这类病毒很多，如米开朗基罗病毒。 按寄生方式和传染途径分类： 1)引导型病毒。指寄生在磁盘引导区或主引导区的计算机病毒。引导型病毒会去改写磁盘 上的一些引导扇区的内容，软盘和硬盘都有可能感染病毒，再不然就改写硬盘上的分区
网络安全中蠕虫病毒技术与防范措施研究概要
网络安全中蠕虫病毒技术与防范措施研究 摘要：蠕虫的大规模爆发，引起的Internet 安全威胁事件每年以指数增长，近年来的增长态势变得的尤为迅猛。所以对蠕虫病毒的检测防范有着重要的意义。 关键词：蠕虫网络安全病毒异常检测 1引言 随着信息化的发展，网络已经渗入到人们生活的各个领域。人们可以在Internet上享用大量的信息资源，但与此同时，人们也受到一些恶意代码的攻击。自1988年第一个蠕虫病毒开始在局域网内活动到1998年底的第一个Internet网上传播的蠕虫病毒(appy99)，就向人们展示了他的巨大破坏力。所谓网络蠕虫是一种能够独立运行，并能通过寻找和攻击远方主机的漏洞进行自主传播的恶意代码。他不同于病毒。具有他自己独特的传播方式和巨大的破坏力。进入２１世纪蠕虫病毒先后在全世界引起了几次很大轰动。像我们熟悉的“冲击波”蠕虫、Nimda蠕虫、狮子蠕虫等等。都给人们留下了深刻的印象。这些都引起了网络安全人员的广泛关注。 2网络蠕虫的特性 网络蠕虫的传播与生物中蠕虫病毒的传播存在相似性，因此对于网络蠕虫的传播同样可以套用生物病毒传播的模型来表示：其中I(t)表示中已经被感染的计算机的数量，S(t)表示网络中存在漏洞、可以被蠕虫感染计算机的数量，表示影响蠕虫传播的因素。公式左边是被感染的计算机数量的增量与单位时间的比值，也就蠕虫传播的速度。从公式中很直观的看出，公式右边三个因子中任何一个因子的减小都会降蠕虫的传播速度。 所以从蠕虫的传播模式和特征行为，我们可以得出蠕虫在传播过程中所共有的一些特征： （1）单一性：大量相同的数据包在蠕虫爆发初期出现，这是由于蠕虫发出的扫描包大多数是相同的，另外蠕虫在进行复制时传输的文件也是相同的。 （2）自主性：网络上感染规模不断增大这是由于蠕虫是自主传播，不受管理员的干涉，被感染主机数量以及扫描都呈指数级迅速增长。这个可以有上边的模型看出。 （3）随机性：被感染主机会随机探测某个地址的固定端口，网络上会出现大量目标地址不可达或连接请求失败。 （4）利用软件漏洞，造成网络拥塞，系统消耗资源，留下安全隐患的特性。 3蠕虫的运行技术介绍 2003年8月12日爆发的“冲击波”蠕虫是利用RPC(remote procedure call)漏洞攻击计算机。RPC是Windows操作系统使用的一个应用层协议，它提供了一种进程间通信机制。而“冲击波”蠕虫就是利用RPC存在的漏洞对计算机进行攻击的，它会不断的扫描网络中存在RPC漏洞的计算机进行攻击，一旦攻击成功，蠕虫就会传输到该计算机上并运行。感染的主机可能造成RPC服务终
利用Netflow在大规模网络进行蠕虫和网络异常检测
利用Netflow在大规模网络 进行蠕虫和网络异常行为监测
https://www.docsj.com/doc/6d14710963.html, yiming@https://www.docsj.com/doc/6d14710963.html,
宫一鸣
中盈优创资讯系统有限责任公司
July 2004
提纲
电信网安全特性 netflow? Netflow和电信带宽安全
如何预警和监控
中盈 netflow在电信的应用
电信网的安全特性
电信网核心竞争力
带宽资源
带宽资源面临
蠕虫 网络滥用 DoS/DDoS
电信网的安全特性
如何保护和监控
防火墙 ？ 部署问题，侧重于点而非面 IDS ？ IDS工作在7层，海量数据 需要详细的信息？
电信网的安全特性
如何保护和监控
Netflow Passive monitoring No device Traffic profile! Arbor/NTG/flow-scan…. CERT SiLK while traffic summaries do not provide packet-by-packet (in particular, payload) information, they are also considerably more compact and consequently can be used to acquire a wider view of network traffic problems.
震网_深度分析
震网病毒——设计思路的深度分析 震网病毒，英文名称是Stuxnet，第一个针对工业控制系统的蠕虫病毒，第一个被发 现的网络攻击武器。 2010年6月首次被白俄罗斯安全公司VirusBlokAda发现，其名称是从代码中的关键字 得来，这是第一次发现震网病毒，实际上这还是震网病毒的第二个版本。 2007年有人在计算机信息安全网站VirusTotal上提交了一段代码，后来被证实是震网病毒的第一个版本，至少是我们已知的第一个。对于第一个震网病毒变种，后来大家基于震网病毒的第二个版本的了解基础上，才意识到这是震网病毒。 震网病毒的攻击目标是伊朗核设施。 据全球最大网络安全公司赛门铁克（Symantec）和微软（Microsoft）公司的研究，近60%的感染发生在伊朗，其次为印尼（约20%）和印度（约10%），阿塞拜疆、美国与巴基斯坦等地亦有小量个案。 2011年1月，俄罗斯常驻北约代表罗戈津表示，这种病毒可能给伊朗布什尔核电站造 成严重影响，导致有毒的放射性物质泄漏，其危害将不亚于1986年发生的切尔诺贝利核电站事故。 我们这次分析的案例是纳坦兹核设施。纳坦兹核基地对于伊朗的核计划非常重要，它是伊朗能否顺利完成利用核能发电的关键。纳坦兹铀浓缩工厂用浓缩铀的关键原料———六氟化铀（UF6），灌入安装在这里的离心机，提炼浓缩铀，为布什尔核电站发电提供核燃料。 进一步分析 它是如何攻击纳坦兹核设施并隐藏自己的？ 它是如何渗透纳坦兹核设施内部网络的？ 它是如何违背开发者的期望并扩散到纳坦兹之外的？ IR-1离心机是伊朗铀浓缩的根基。它可以追溯到从20世纪60年代末由欧洲设计，70 年代初被窃取。全金属设计的IR-1是可以稳定的运行的，前提是其零件的制造具有一定精度，但是伊朗人其零件加工工艺不达标。因此他们不得不降级离心机的运行压力。但是较小的工作压力意味着较少的产出，因而效率较低。 虽然低效，但对于伊朗来说有一个显而易见的优点，伊朗可以大规模的制造生产。伊朗通过数量来弥补不稳定性和低效率，他们能够接受在运行过程中一定数量的离心机损坏，因为他们制造离心机的速度比离心机损坏的速度要快多了。 图为2008年至2010年Natanz工厂的离心机库存数据，伊朗始终保存着至少50%的备 用离心机。 离心处理操作是一个严苛的工业流程，在流程运行过程中，它不可以存在任何的问题。伊朗建立了一套级联保护系统，它用来保证离心流程持续进行。在离心机层，级联保护系统的每个离心机在出故障时都可以被隔离出来。隔离后的离心机可以停机并被维护工程师替换，而工艺流程仍然正常运行。 可问题是他们的离心机太脆弱，会出现多个都坏了的情况。如果同一个组中的离心机都停机了，运行压力将会升高，从而导致各种各样的问题。
蠕虫病毒的检测和防御研究
青岛科技大学 题目 __________________________________ 蠕虫病毒的检测和防御研究 __________________________________ 指导教师__________________________ 学生姓名__________________________ 学生学号__________________________ 院（部）____________________________专业________________班___________________________ ______年 ___月 ___日
青岛科技大学专科毕业设计论文 蠕虫病毒的检测和防御研究 摘要 随着网络技术的发展，蠕虫病毒不断扩大对网络安全构成了严重的威胁，本文基于当前蠕虫攻击破坏的严峻形势，对蠕虫病毒的检测和防御技术进行了研究。首先对蠕虫病毒相关知识作了介绍，包括蠕虫病毒的定义、工作流程以及行为特征，并简要分析了蠕虫病毒国内外研究现状；在此基础上接着研究了蠕虫病毒检测技术，提出了基于蠕虫特征码、蠕虫行为特征、蜜罐和蜜网技术以及贝叶斯蠕虫检测技术；最后对蠕虫病毒的防御技术进行了研究，从企业网络用户和个人用户的角度分析了面对当前蠕虫攻击所需要注意和采取的措施，以尽最大可能减少蠕虫的侵害，营造一个良好的网络环境。 关键词：蠕虫病毒；检测；防御；网络安全
蠕虫病毒的检测和防御研究 目录 前言 (1) 1蠕虫病毒相关知识介绍 (2) 1.1蠕虫病毒定义 (2) 1.2蠕虫病毒工作流程和行为特征 (2) 1.3蠕虫病毒国内外研究现状 (4) 2蠕虫病毒检测技术研究 (5) 2.1基于蠕虫特征码的检测技术 (5) 2.2基于蠕虫行为特征的检测技术 (5) 2.3基于蜜罐和蜜网的检测技术 (6) 2.4基于贝叶斯的网络蠕虫检测技术 (6) 3蠕虫病毒防御技术研究 (8) 3.1企业防范蠕虫病毒措施 (8) 3.2个人用户防范蠕虫病毒措施 (9) 4总结 (10) 致谢 (11) 参考文献 (12)
Internet网络中的蠕虫病毒扩散传播模型
Internet网络中的蠕虫病毒扩散传播模型 1 简单传播模型 在简单传播模型（Simple Epidemic Model）中，每台主机保持两种状态：易感染和被感染。易感个体（Susceptible）是未染病但与已感染的个体接触会被感染的一类；另一类为感染个体（Infective），这类个体已染病且其具有传染性。假定一台主机一旦被感染就始终保持被感染的状态。其状态转换关系可表示为： 由此可见这种模型的蠕虫传播速度是由初始感染数量I(0)和主机感染率这两 个参数决定的。其微分方程表达式为 dI(t)/dt=βI(t)[N-I(t)] 其中I(t)为时刻t 已被感染的主机数；Ｎ为网络中主机总数；β 为时刻t 的感染率。当t=0 时,I(0)为已感染的主机数，N-I(0)为易感染主机数。 取节点数N=10000000,感染概率因子为β=1/10000000，即K=βN=1,当蠕虫繁殖副本数量I(0)=3 时，仿真结果如图3-2 所示，横坐标为传播时间，纵坐标为整个网络被感染的百分比。 此模型能反映网络蠕虫传播初期的传播行为，但不适应网络蠕虫后期的传播状态。此外，其模型过于简单，没有体现蠕虫扫描策略和网络特性对蠕虫传播所产生的影响。 2 KM 模型 在Kermack-Mckendrick 传播模型(简称KM 模型)中，主机保持 3 种状态：易感染、被感染和免疫。用状态转换关系表示为： 对感染节点进行免疫处理，是指把此节点从整个网络中去除。因为，每当对一台主机进行免疫处理，网络节点总数在原有基础上减1，最终将使得所有被感染的主机数量减少到0,也就是所有的主机最终都将处于免疫状态。KM 模型的微分方程表达式为： dJ(t)/dt=βJ(t)[N-J(t)] dR(t)/dt=γI(t)