[发明专利]一种基于流量信息检测蠕虫活动的方法

说明书

技术领域

本发明涉及一种基于流量信息检测蠕虫活动的方法，属于计算机网络和数据通信技术领域。

背景技术

随着蠕虫传播越来越广，其对网络的危害日益增加，使得对蠕虫的检测工作越来越得到关注。蠕虫的一般传播过程为：1.扫描：由蠕虫的扫描功能模块负责探测存在漏洞的主机。当程序向某个主机发送探测漏洞的信息并收到成功的反馈信息后，就得到一个可传播的对象。2.攻击：攻击模块按漏洞攻击步骤自动攻击步骤1中找到的对象，取得该主机的权限(一般为管理员权限)，获得一个shell。3.复制：复制模块通过原主机和新主机的交互将蠕虫程序复制到新主机并启动。蠕虫传播过程中表现出来的特征主要是往外频繁扫描，具有高发散度性，同时具有很多未完成连接。

传统的蠕虫检测通常使用特征码匹配方法，该方法对已知蠕虫有较好的检测率，然而占用系统资源较多，而且对于未知蠕虫或者蠕虫的变体都无能为力。目前也有一些方法通过统计各个主机的连接数来检测蠕虫，这种方法能够检测未知蠕虫，但判断标准比较单一，具有一定的漏报率和误报率。

发明内容

本发明的目的在于提供一种基于流量信息检测蠕虫活动的方法。根据蠕虫的传播特性，本方法通过既往的流量信息统计出蠕虫详细的活动特征，并使用这些特征检测实时的流量信息，判断蠕虫的活动情况。

本发明提供的技术方案如下：

本发明的基于流量信息检测蠕虫活动的方法的具体步骤如下：

1)采集正常流量日志和有蠕虫活动的流量日志；

2)从流量日志中提取检测蠕虫的特征，至少包含连接的目的IP地址总数目，半开连接数目，总流量，总数据包个数，得到有标定类别的流量日志；

3)利用机器学习算法对上述有标定类别的流量日志进行学习，得到蠕虫检测分类器；

4)将蠕虫检测分类器部署到目的网络，接收网络的流量信息；

5)对目的网络的流量信息提取特征向量，利用蠕虫检测分类器检测目的网络的蠕虫活动。

进一步，上述步骤1)中所述流量日志从同一主机或同一局域网的不同主机或不同局域网的主机采集。

进一步，上述步骤2)中的检测蠕虫的特征包含以下一种或几种：发起连接速率、被发起连接速率、端口号、目的端口号的数值差、连接的目的IP之间的数值差、发送的流量、接收的流量、发送流量和接收流量比率、发送的数据包个数、接收的数据包个数、发送包的平均大小、接收包的平均大小、发送和接收数据包的平均大小。

进一步，上述步骤4)中的目的网络既可以是一个局域网，也可以仅是其中的一个或多个冲突域。

本发明在流量日志信息中提取出一些能很好的刻画蠕虫的活动特征的关键特征，通过机器学习算法对这些流量信息特征进行有监督学习，得到一个蠕虫检测分类器。利用该分类器再对实时流量日志信息进行检测，从中发现蠕虫活动。

本发明能够检测出未知蠕虫的活动，判断标准较为全面，并且可以根据实际环境进行调整，较为灵活。

附图说明

图1本发明方法的流程图；

图2蠕虫检测分类器的逻辑示意图。

具体实施方式

以下参照附图对本发明的基于流量信息检测蠕虫活动的方法进行详细说明，但本发明不局限于下面的实施方式。

本发明方法的流程如图1所示，其工作过程如下：

(1)流量日志采集。

采用防火墙等网关设施采集网络的流量日志信息。该步骤包括两方面的工作，一是采集正常的网络流量日志，二是采集感染蠕虫主机的流量日志(可以人为将主机感染上蠕虫以获得流量日志)。流量日志样例：2007-10-19 00:00:04 Local7.Debug 172.31.4.44 id＝firewall time＝″2007-10-19 00:01:17″fw＝FSG1000-test type＝session_flux pri＝6 duration＝30 proto＝17 src＝172.31.5.80dst＝221.5.250.169 src_port＝2393 dst_port＝g000 rcvd＝53 sent＝47 rcvd pkt＝1 sent_pkt＝1rule＝1 action＝ACCEPT

其中关键字段的解释如下：

time：日志产生时间

proto：协议

src：源地址

dst：目的地址

src_port：源端口

dst_port：目的端口

rcvd：接收流量

sent：发送流量