智能蠕虫自动遏制方案

□王 欣

(太原旅游职业学院，山西太原030006)

互联网目前已经发展成为当今世界上规模最大、拥有用户最多、资源最广泛的通信网络。在全球经济和人们的生活中起着越来越重要的作用，与此同时，随着计算机蠕虫的出现，网络安全也受到了极大的挑战，许多重要数据遭到破坏和丢失，造成社会财富的极大浪费。例如:SQL Slammer蠕虫病毒在十分钟内感染了互联网上的90%的易感主机［1］;“红色代码Ⅱ”蠕虫病毒，该蠕虫2001年7月19日从开始发作的9个小时里，它就感染了35万多部计算机系统［2］，造成经济损失12亿美元。因此，我们需要自动检测和及时响应防御网络蠕虫病毒。

网络蠕虫的自动遏流技术为网络中的每台主机设定一个扫描率的上限［3，4］。利用该方法能自动遏制具有快扫描率的蠕虫，然而对扫描率缓慢的蠕虫没有效果，原因是正常的网络流量和蠕虫扫描的网络流量之间差别非常小［5］，在不影响网络正常工作的情况下设置蠕虫扫描率阈值是非常困难的。

美国学者塞尔克等人［5］提出了基于扫描次数的遏流技术，针对每台具有独立IP地址的主机，设置其在一个时间周期内的扫描次数的阈值，通过累积效应将蠕虫的异常扫描从正常网络扫描中区分出来。然而，对于具有扫描率低且易感率高的智能蠕虫，该方法仍然无效。本文的研究目的就是要限制这类蠕虫的传播。

本文提出了基于局域网的遏流技术，该方法利用同一局域网内用户信息需求上的相似性，为每个局域网而不是个体主机设置其在一个时间周期内扫描次数的阈值，如果子网在一个周期内对不同IP地址的总扫描次数超过了设定的阈值，就认为这个网络可能被蠕虫病毒感染，他的扫描率就会被限制。……