Transcript 网络结构与环境对病毒传播的影响

山西省计算机学会2013年学术年会
网络病毒仿真分析与网络安全评价
宋礼鹏
中北大学 计算机与控制工程学院
网络病毒仿真分析与网络安全评价
建立网络病毒仿真模型，刻画
其传播特性并分析病毒传播手
段、网络结构与环境对病毒传
播的影响，可能的防御措施
建立网络攻防实验环境，
评价网络受到各种入侵
/ 攻 击 时 的 脆 弱
性，可能的加固措施
相同之处：预测网络病毒的危害性，提供对抗措施
区别：针对病毒的还是针对网络的方法
网络病毒仿真分析与网络安全评价


网络病毒仿真分析
 仿真分析方法
 数学解析模型
 未来研究工作设想
网络安全评价
仿真分析方法

数学解析模型

数据包级仿真模型

Monte Carlo 仿真
由一组微分方程或递归公式构成。不
足:对网络做了许多抽象假设，难以刻
画网络结构特征，不考虑网络带宽、
建模、理论分析
延迟和协议的影响，随机因素考虑不
引入网络环境仿真技术,构建网
足；优点:计算效率高，适用于大规模
络病毒传播仿真环境。优点：
将病毒传播看作一个Markova过
验
网络病毒传播特性的宏观分析。
可以充分考虑网络带宽、延迟、
程,采用离散时间的方法推进仿
证
协议等的影响,更加真实地模拟
真过程。优点：相对于数学解
病毒的传播过程。不足：存在
析模型考虑更多的节点中间状
规模限制瓶颈,不适用于大规模
随机仿真
态信息和随机因素的影响；不
网络病毒传播特性仿真。
足：不能像数据包级仿真那样
考虑网络带宽、延时等因素的
影响。
网络病毒仿真分析与网络安全评价


网络病毒仿真分析
 仿真分析方法
 数学解析模型
 未来研究工作设想
网络安全评价
数学解析模型
——依据传播特性划分
扫描型网络病毒模型

扫描型网络病毒是通过
网络扫描发现漏洞主机
进行传播的病毒。扫描
型网络病毒模型就是针
对这类病毒的模型
网络扫描+移动介质传播病毒模型
针对既可以通过网络扫
描又可以借助感染移动
介质进行传播的网络病
毒模型
扫描型网络病毒模型
扫描型病毒把网络抽象
扫描型网络病毒利用内置的随机算法生成扫
扫描型网络病毒传播过程示意
成随机图，图中任何机
描对象的IP地址(地址序列)，然后通过网络
基于随机生成
器节点间均有连边(依
IP地址扫描
概率连边)，节点的度
入侵来感染目标对象(机器)。
新感染
相同，均质网络
机器
易感
机器
internet
感染
机器
扫描型网络病毒模型
SIS模型： 感染 仓室模型：将机器划
Susceptible
Computer (S)
分为2种状态/仓室
 dS
S：易感染机器仓室
   SI   I

I
 dt 基于SIS模型和有向网
Infected
I：感染病毒机器仓室

Computer (I)
 dI络，首次给出了病毒

  SI   I
 dt的传播模型，刻画了
早期网络病毒借助文
件共享传播的特性。
机器重装引起的重新易感
J.O. Kephart, S.R. White, Directed-graph epidemiological models of
computer viruses. In: IEEE Symposium on Security and Privacy, Oakland,
1991
扫描型网络病毒模型
早期的网络病毒传播特别快，
SI模型：
对这类病毒通常仅研究病毒爆
利用SI模型对Red
发后较短时间内的传播特性，
Code 蠕虫爆发初

I
Infected
Susceptible
这时不需要考虑感染机器的恢
期情况做了预测
Computer (S)
Computer (I)
复问题。
蓝色是实测数
据，红色是模
型预测结果。
S. Staniford, V. Paxson, N. Weaver, How to own the Internet in your spare
time. In: Proceedings of the 11th USENIX Security Symposium, 2002
扫描型网络病毒模型
因此，考虑带宽限
AS间的交叉感染
不考虑带宽
对内部机器的感染
蓝色是实测数据，
制后预测值下降很
AS1内感染者变化方程
SI模型预测Slammer蠕虫：
SI间隔模型：
限制的情况
红色是SI模型预测
多，有助于准确刻
结果。1800秒后预
将整个网络看成由多 画Slammer蠕虫的
测值远大于实测值
N1个AS构成的子网络，
N2
 dI1
实际传播过程。
 Q 2 I 2
) S1
 dt  ( 1 I1 N病毒在每个AS内可全
N
, 其中 Q  1

速传播，在AS间传播
考虑带宽限制
N2
1
蠕虫的扫描速率太
 dI 2  (Q I N速率受带宽制约。
后的情况


I
)
S
AS2内感染
1 1
2 2
2
 dt
快，网络无法保证
N
N
者变化方程
蠕虫全速传播所需
要的带宽，因此传
G. Serazzi, S. Zanero, Computer virus propagation models.
In: Proceedings of
播受到带宽的制约
11th IEEE/ACM Symposium on Modeling, Analysis and Simulation of Computer
and Telecommunication Systems , 2003
扫描型网络病毒模型
增加C仓室表示感染病毒但不
另一类重要的仓室模型，与SI/SIS模
具备传播病毒能力的机器；此
型相比增加了对病毒具有免疫力的R
 dS
感染
SIR模型：
外，考虑用户自主杀毒、打补
仓室，适用于在较长的时间范围内
 dt    SI
丁情况.利用这种模型更好地
考虑病毒的传播特性。

dI

刻画了感染率底且具有潜伏性

I

Susceptible
Recovered
Infected
  SI   I

Computer (S)
Computer (R)
的网络病毒。
Computer (I)
 dt
SCIR模型：
Susceptible
Computer (S)

 dR
I


由系统杀毒和给漏洞打补
 dt
1 I Contaminated

2
Recovered
Infected
丁使感染者成为免疫者
Computer (C)
Computer (I)
Computer (R)
J.R.C. Piqueira, A.A. de Vasconcelos, C.E.C.J. Gavriel et al., Dynamic models
for computer viruses[J]. Computers and Security, 2008, 27: 355-359.
扫描型网络病毒模型
t时刻能够感染易感者的是t   1时刻就已经
与前面增加潜伏期仓室C的模型
染毒的个体I ( t 不同，论文中将时滞作为变量，
 1 ) 。t 时刻刚感染病毒的
 1时刻才具有传播病毒能力
SIR+时滞：个体，要等到t +研究了时滞对具有潜伏期的网络
病毒传播过程的影响。
Susceptible
Computer (S)
（t
I - 1）
Infected
Computer (I)
 R(t  2 )

Recovered
Computer (R)
此外，还考虑了免疫期问题，
t -  2时刻的免疫者在t 时刻( 过
了免疫期 2 )后以 重新易感
X. Han, Q.L. Tan, Dynamical behavior of computer virus on Internet.
Applied Mathematics and Computation, 2010
扫描型网络病毒模型
另有一类网络病毒，利用网络应用
(Email, QQ,微
前面建立的均是基
于均质网络假设的
博等)所形成的覆盖层网络结构信息（如:Email地
模型，无法刻画这
址薄网络）寻找漏洞主机进行扫描传播——拓扑依
类病毒
赖扫描型网络病毒。
研究表明网络应用形成的网络是异质网络，如Email
地址薄网络节点度分布服从幂律分布，即绝大多数
用户地址薄的好友数不多(几十个至一百多)，但存
在少量节点其好友数可达成千上万。
扫描型网络病毒模型
SIS模型：
该模型对不同度的
个体给出了不同的
方程。若K为最大度，
则共2K 个方程
 dSk
 dt    k Sk   I k
, k 为节点的度，k  1, 2,

 dI k   k S   I
k
k
 dt
K
Sk ( I k ) 是度为k的易感( 感染) 节点;  是一条边连上感染者导致的感染率;
基于SIS模型建立了
1
能反映异质网络结构
=
kI k 是任意一条给定边与一个被感染节点相连的概率。

N k  k
影响的病毒模型
因此，度k的易感者感染率是 k 。
R. Pastor-Satorras, A. Vespignani, Epidemic dynamics and endemic
states in complex networks. Physical Review E, 2001
对比两个模型，异质性体现:
k和  k  ，和 I N 的区别上
异质模型：
均质模型：
 dS k
 dt    k S k   I k

 dI k   k S   I
k
k
 dt
k的易感节点的具体度值
I
 dS
 dt     k  N S   I

 dI    k  I S   I
 dt
N
 k  表示平均度；
1
=
kI k中感染者的度不同

N k  k
I
对感染率的贡献不同。
中度不同的感染者
N
贡献相同
扫描型网络病毒模型
异质性模型或带度的模
型理论分析很困难，因
而许多研究都是基于模
Cliff C. Zou, Don Towsley, Weibo Gong, Modeling
and Simulation Study of the
Propagation and Defense of Internet E-mail
Worms. IEEECarlo仿真
TRANSACTIONS ON
型的Monte
DEPENDABLE AND SECURE COMPUTING, 2007
宋玉蓉, 蒋国平, 徐加刚, 一种基于元胞自动机的自适应网
络病毒传播模型. 物理学报, 2011
基于模型重点仿真了用户查收邮件时间和打开附件概率对邮
件病毒传播的影响。
基于元胞自动机和SIS模型，研究机器节点/用户为了规避病
毒感染所采取的自适应行为对病毒传播的影响。并对比了病
毒在均质网络（四邻居网格，随机图）和异质网络(无尺度网)
中的传播差异
扫描型网络病毒模型
Y.H. Li, J.X. Pan, Z. J, Dynamic Modeling and Analysis of the
Email Virus Propagation. DDNS, 2012
针对邮件病毒建立带潜伏期的SEIS模型，不同于Zou等人给出的
模型，该模型考虑了用户重复收到不同好友邮件导致打开带病
毒附件概率增加的情况，更好地刻画了基于小世界网络(聚类系
数高)传播的邮件病毒
扫描型网络病毒模型
前述的研究关注于准确地刻
F. Yang, H.X. Duan, X. Li, Modeling
and analyzing of the
画网络病毒的传播特性；事
interaction between worms and
antiworms during network
worm propagation. Science in实上，利用数学解析模型刻
China Ser. F, 2005
画网络病毒的传播过程，最

I
 1 Recovered
1
Susceptible
Infected 终是为控制网络病毒服务的
借鉴网络病毒的传播思
Computer
(S)
Computer (R)
Computer (I)
存在问题是Anti这些论文同样给出了
想，发布可传播的
virus/良性病毒同样
文章给出了Anti-virus的
2
基于良性网络病毒的
Anti-病毒代码，进而
2

会消耗网络带宽。
2
发布时间和感染率阈值，
病毒对抗技术
修复感染机器
Antivirus
Computer (A) 时间小于或感染率大于阈
值可确保Virus的灭绝
S类和I类个体被
Anti-virus感染，
周翰逊，赵宏，主动良性蠕虫和混合良性蠕虫的建模与分析.
计算机研究与发展，2007
感染后对原virus免疫
 S. Tanachaiwiwat, A. Helmy, Encounter-based worms: analysis and
defense. Ad Hoc Network, 2009
扫描型网络病毒模型
J.R. Crandall, R. Ensafi, S. Forrest, et al., The Ecology of
Malware, NSPW’08, 2008
L.P. Song, Z. Jin, G.Q.作者提出了网络病毒“生态学”的
Sun, Modeling and analyzing of
botnet interactions. Physica
A, 2011
观点，就是通过研究网络病毒本身
间形成的复杂交互关系找到控制病
建立了蠕虫病毒间的交互
基于博弈论给出了僵尸网络之
毒的有效方法，而不是在网络中传
模型，同时考虑了人类自
间的交互模型，得到了诱导僵
播Anti-virus代码。
适应行为的影响，并给出
尸网络病毒竞争的条件和在竞
针对性的病毒灭绝条件
争策略下确保病毒灭绝的条件
L.P. Song, X. Han, D.M. Liu, et al., Adaptive human
behavior in a two-worm interaction model. DDNS, 2012
扫描型网络病毒模型
J.M. Fu, B.L. Chen, H.G. Zhang, A worm containment
model based on neighbor-alarm. LNCS, 2007
Susceptible
Computer (S)
I

Recovered
Infected
这是另外一类具有里程碑意义的研
Computer (R)
Computer
(I)
究工作。提出了基于邻居间协作警
告来实现网络病毒的遏制。
 I
 I 恢复者；
还有一些后续的文章研究了如何提
S和I类个体收到身边恢复个体的警告恢复为R。其中
 是对警告的信任度。
高邻居间的协作性和信任度、以及
评价警告可靠性等。
扫描型网络病毒模型
S.H. Sellke, N.B. Shroff, S. Bagchi, Modeling and automated
containment of worms. IEEE TRANSACTIONS ON DEPENDABLE
AND SECURE COMPUTING, 2008
这是可操作性很强的又一项研究工作。文中基于离散SIR模
型和分支过程，给出网络最大扫描次数的阈值。对一个局域
网依据该阈值可以确保病毒的灭绝。
数学解析模型
扫描型网络病毒模型

网络扫描+移动介质传播病毒模型
网络扫描+移动介质传播病毒模型
同时利用网络扫描和移动介质传播的病毒通常网络扫
描率很低，基于流量检测的技术很难检测到，隐蔽性
好。此外，该类病毒常以与Internet物理隔离的工业
/军事网络为目标，因而带来的危害性大，如震网
“Stuxnet”病毒就成功逼停了伊朗的布什尔核电厂。
网络扫描+移动介质传播病毒模型
L.P. Song, Z. Jin, G.Q. Sun, J. Zhang, X. Han, Influence of removable devices
on computer worms: Dynamic analysis and control strategies, Computers and
Mathematics with Applications, 2011
C. Jin, X.Y. Wang, Analysis and control stratagems of Flash Disk Virus dynamic
propagation model. Seeurity and Communieation Networks, 2012
L. Yang, X. Yang, The spread of computer viruses under the influence of
removable storage devices. Applied Mathematics and Computation, 2012.
Q. Zhu, X. Yang, J. Ren, Modeling and analysis of the spread of computer virus,
Communications in Nonlinear Science and Numerical Simulation, 2012
X. Han, Y.H. Li, L.P. Feng, L.P. Song, Influence of removable devices’
heterouse on the propagation of malware. Abstract and Applied Analysis, 2014
网络扫描+移动介质传播病毒模型
不考虑移动设备时
网络扫
杀毒软
网络扫描感染（基
描的感
件导致
L.P. Song, Z. Jin, G.Q. Sun, J. Zhang, X. Han, Influence of removable devices
于SIR模型）
染率 analysis
的恢复率
b1 Dynamic
on computer worms:
and control strategies, Computers and
Mathematics
机器淘 with Applications, 2011
1I
1
汰率，
Susceptible
Recovered
Infected
Computer (R)
Computer (I)
引入率 Computer (S)  M
2 I
1
这是第一篇论文，在这篇
1
1
论文中建立了机器与移动
设备交叉感染的模型。
b2
移动设备和
移动设
机器的交叉感染率

I
2
Infected
备的淘 Susceptible
Removable
Removable
汰率， Device (MS)
Device (MI)
2
引入率
移动设备的部分
2
2
（基于SIS模型）
网络扫描+移动介质传播病毒模型
1SI  2 SM I
 dS
 dt  b1  232  N  1S

 dI  1SI   2 SM I   I   I
1
1
32
2
N
 dt
 dM I  2 ( M  M I ) I

  2 M I  2 M I

N
 dt

结论

移动设备的使用有助于网络蠕虫的传播；

控制移动设备的数量（减小 ）、减小移动设备
和机器间交叉感染的可能性（减小 ）、及时的
对移动设备杀毒（增大 ），均有助于控制病毒
的传播；

最有效的手段是减小移动设备和机器间交叉感染
的可能性。
X. Han, Y.H. Li, L.P. Feng, L.P. Song, Influence of removable devices’
heterouse on the propagation of malware. Abstract and Applied Analysis, 2014
在这篇文章中，我们进一步
考虑了移动设备在不同区域
使用行为的异质性问题。
D( )是用户移动行为的函数，
1SI D( )  2 SM I
 dS
 1S
 dt  b1  232 
N

用来刻画移动设备使用的异质性
 dI 1SI D( )  2 SM I
 1 I  1 I
,
  32 
2
N
 dt
 dM I D ( )  2 ( M  M I ) I
  2 M I  2 M I
 dt 
N

1SI  2 SM I
 dS
区别就是移动设
 dt  b1  232  N  1S

备机器交叉感染
 dI 1SI  2 SM I
项增加了函数D。
 1 I  1 I
  32 
N
 dt 2
 dM I  2 ( M  M I ) I
  2 M I  2 M I
 dt 
N

结论

不考虑异质性使用行为的模型通常放大了移动
设备使用的危害性；

存在一个较小的半径，确保该区域内移动设备
的安全即可确保物理隔离网络的安全。
网络病毒仿真分析与网络安全评价


网络病毒仿真分析
 仿真分析方法
 数学解析模型
 未来研究工作设想
网络安全评价
未来研究工作设想
时间轴
2003
报告人
2008
2009.9
2010
2011
2012
开始研究病
毒数学模型
网络病毒
传播手段单一、扫描率快且与网络
病毒的复杂、繁多和对宿主机器危
结构无关，数学模型可以提供有效
害性的减小使得个体用户或局域网
网络病毒防御策略。
管理者没有积极性和能力承担防御
病毒种类繁多、传播手段复杂、
国家变得更加关注网络空
病毒的职责。但我们过去却试图以
对宿主危害小、受网络结构和延
间的安全问题，ISP有能
他们为防御主体来建模。
迟影响大，数学解析模型难以刻画。
力防御网络病毒但缺乏积
极性，建模、为国家激励
震网病毒被曝光，网络病毒变得极其
ISP防御病毒服务
复杂，APT(高级可持续威胁)概念提
出，国家级玩家开始出现。
建立基于ISP的网络病
毒传播及防御模型；
网络病毒仿真分析与网络安全评价


网络病毒仿真分析
网络安全评价
 安全评价方法
 基于随机模型的评价方法
 未来研究工作设想
网络安全评价方法

真实设备的攻防实验环境

虚拟设备的攻防实验环境

基于随机模型的评价方法
需要将目标网络的主
要设备和网络结构进
行复原，其测试的结
果准确、但造价高且
相对造价较低，但仍需
可扩展性差。
模拟网络协议、流量、
拓扑等，并开发针对性
的仿真程序，测试结果
有一定的价值，但仍存
建立网络设备模型、拓
在很大的局限性。
扑结构模型和攻防模型，
借助随机假设描述系统
某些因素。计算性能高，
可扩展性好。
网络病毒仿真分析与网络安全评价


网络病毒仿真分析
网络安全评价
 安全评价方法
 基于随机模型的评价方法
 未来研究工作设想
基于随机模型的评价方法
B. Littlewood, S. Brocklehurst, N. Fenton, et al., Towards operational
measures of computer security. Computer Security, 1993
D.M. Nicol, W.H. Sanders, K.S. Trivedi, Model-based evaluation: From
dependability首次将随机模型的方法引入网络安全评价中
to security. IEEE Transaction on Dependability and Security, 2004
W. Jiang, B.X. Fang, Z.H. Tian, et al., Evaluating network security and optimal
考虑攻击者意图对攻击手段，攻击时机的影响。
active defense
based on attack defense game model. Chinese Journal of
Computer, 2009
利用博弈模型刻画攻防过程中的交互博弈，
为防御策略选择提供依据。
基于随机模型的评价方法
Y. Liu, K.S. Trivedi, A general framework for network survivability quantification
In: Proceedings of the 12th GI/ITG Conference on Measuring, Modeling and
Evaluation of Computer and Communication Systems (MMB) Together with 3rd
Polish-German Teletraffic Symposium (PGTS), 2004
王元卓,
林闯, 程学旗, 方滨兴, 基于随机博弈模型的网络攻防量
强调对网络安全进行定量分析的重要性，并建立了网络
化分析方法.
计算机学报, 2010
安全评价指标体系
建立了量化的、可操作性强的网络攻防评价方法。建立
了完整的评价体系，包括各类模型和评价指标。
根据网络设备参
数建立网络设备
脆弱性模型
由设备脆弱性、
“基于随机博弈模型的网络攻
威胁参数生成
防量化分析方法”文章给出的
基于随机Petri
网络攻防实验环境整体架构
的攻击图
在随机Petri攻击图模型上引入策
略和效用信息，生成攻击视角的
根据输入的网
攻防随机博弈网模型和防御视角
络拓扑结构建
的攻防随机博弈网模型，进一步
立网络设备的
依据计算的稳态结果
计算攻防双方的均衡策略
给出评价与分析连接关系模型
网络病毒仿真分析与网络安全评价


网络病毒仿真分析
网络安全评价
 安全评价方法
 基于随机模型的评价方法
 未来研究工作设想
未来研究工作设想
 林老师给出了安全评价模型，这种模型能评价基
于设备漏洞进行攻击的威胁性，但是目前流行的社
交型网络病毒不是基于设备漏洞攻击而是利于社会
工程手段攻击，该如何建模评价这类病毒带来的网
络安全性问题？
 2009王璞博士在《science》发表关于手机病毒
的研究，结果表明移动病毒带来的危害性很大，但
相关防御研究却不多——结合人类行为动力学研究
移动网络安全评价模型也是我们目前关注的。
欢迎各位专家批评指正！