[发明专利]一种网络蠕虫检测方法及检测系统

说明书

技术领域

本发明涉及网络安全领域，特别涉及网络蠕虫检测方法及检测系统。

背景技术

随着网络技术的迅猛发展，网络安全问题日益突出，其中，网络蠕虫 由于其自身传播速度快、破坏性大等特点已成为当前影响网络安全的一个 重要问题。网络蠕虫的早期检测和预警对于控制蠕虫的传播具有重要意 义，因此，人们对蠕虫检测技术纷纷展开深入的研究工作。蠕虫检测技术 主要包括误用检测和异常检测两类，由于异常检测类方法具有发现未知蠕 虫的优点，所以逐渐成为人们研究的热点。

根据网络蠕虫在传播过程中呈现的关键行为特征的不同，用于检测网 络蠕虫的异常检测类方法可分为基于扫描行为和基于传播行为两类。

(1)基于扫描行为的检测方法。网络蠕虫一般通过扫描的方法来发 现攻击目标，蠕虫的扫描行为往往会产生流量、连接数、IP地址分布、差 错包等等方面的异常，该类方法主要基于上述异常特征并利用阈值比较或 其他模型方法进行蠕虫检测。该类方法利于蠕虫的早期发现预警，但已有 方法往往孤立地利用个别特征，针对复杂的实际应用环境，误报率较高， 适应性较差。

(2)基于传播行为的检测方法。网络蠕虫在发现攻击目标后需要进 行必要的安全漏洞的攻击以及蠕虫体的复制传播，这些传播行为往往呈现 出数据包长和负载内容的一致性或相似性、连接呈树状结构、受害主机转 变为传播源等方面的特征，该类方法主要基于上述特征进行蠕虫检测。该 类方法能够自动提取蠕虫及其变种的特征指纹，检测准确性高，但该类方 法发现蠕虫较晚，并且已有方法由于过于复杂，部分方法还需要分析数据 包负载，占用大量的计算资源，不适合大规模高速网络环境下的实时检测。

总体看来，人们已在网络蠕虫异常检测领域取得了较好的阶段性成 果，然而，面对大规模高速复杂网络环境下的实时检测和早期预警的实际 应用需求，上述已公开的方法还存在着以下问题：1)基于传播行为的已 有方法缺乏蠕虫的早期发现能力，而基于扫描行为的已有方法缺乏对蠕虫 多行为特征的综合分析，针对复杂的实际应用环境，误报率较高；2)由 于部分方法过于复杂，对计算和存储资源要求较高，所以难以满足大规模 高速网络实时检测的要求。

发明内容

本发明的目的是克服现有的蠕虫检测方法误报率高、难以满足大规模 高速网络实时检测的要求等缺陷，从而提供一种高效、准确的网络蠕虫检 测方法。

为了实现上述目的，本发明提供一种网络蠕虫检测方法，包括：

步骤1)、接收网络数据包，在所述网络数据包中提取与网络蠕虫检测 相关且用于证明网络蠕虫存在的检测特征；

步骤2)、将所述检测特征作为朴素可信度模型中的证据，计算证据可 信度；其中，所述朴素可信度模型在可信度模型的基础上增加了知识中的 证据总是支持结论为真的假设；

步骤3)、根据所述检测特征创建所述朴素可信度模型中的知识，计算 所述知识的可信度；其中，在所述朴素可信度模型的知识中，所述检测特 征中的独立检测特征对应一个独立的知识，而所述检测特征中的相关检测 特征在同一个知识内；

步骤4)、将所述证据可信度以及所述知识的可信度代入朴素可信度模 型的可信度计算公式，对网络中存在蠕虫攻击的结论事件进行可信度计 算。

上述技术方案中，在所述的步骤1)中，所述的与网络蠕虫检测相关 且用于证明网络蠕虫存在的检测特征包括差错包短连接度特征、正常包短 连接度特征、数据流量特征、数据包速率特征、包速率均匀度特征、包长 均匀度特征、连接树图模式特征以及包数增长率特征在内的8个检测特征 中的至少两个。

上述技术方案中，所述的连接树图模式特征的提取方法为：

当<sip，dport>的正常包短连接度超过一设定的阈值，则所述sip为可疑 传播源；其中的sip为数据包的源IP，dip为数据包的目的IP，dport为数 据包的目的端口；

考察每个<sip，dport>的正常包短连接度，若存在新的可疑传播源sip， 则将sip加入到对应的<dport>的可疑传播源集合中。

上述技术方案中，在所述的步骤2)中，计算所述连接树图模式特征 的证据可信度包括：