基于漏洞的蠕虫特征自动提取技术研究

提出一种新的基于漏洞的蠕虫特征,其区别于传统的基于语法或语义分析的技术,对蠕虫攻击的漏洞特征进行分析,将该算法应用于检测系统中。通过实验证明,该检测系统能有效地检测出各种多态变形蠕虫。     

DNS漏洞遭黑客利用 企业机密文件面临严重威胁

当前,有一种利用微软DNS oday漏洞进行攻击的蠕虫病毒叫DNS蠕虫(worm．VanBot．bx)。该病毒可利用DNS漏洞攻击企业DNS服务器,进而可能有机会控制企业整个网络,不仅可能导致企业网络瘫痪,同时还有机会盗取企业内部的机密信息。     

基于动态IP的主动式蠕虫诱捕技术研究

针对当前基于暗网的蠕虫监控技术存在诸如诱捕能力低、资源耗费大等问题,研究了当前的蜜罐、暗网监测技术,提出了一种蠕虫诱捕方案.在主动响应蠕虫的扫描探测之后,利用在可动态切换IP的高交互蜜罐部署有漏洞的网络服务正确响应蠕虫攻击的特点,完成与攻击者的深入交互.不采用传统的模拟网络服务漏洞的方法,减轻了研究网络服务漏洞的攻击原理的负担.实验结果表明,设计的原型系统原理可行,在蠕虫早期预警方面发挥作用.     

DNS漏洞遭黑客利用 企业机密文件面临严重威胁

当前，有一种利用微软DNS oday漏洞进行攻击的蠕虫病毒叫DNS蠕虫（worm.VanBot.bx）。该病毒可利用DNS漏洞攻击企业DNS服务器，进而可能有机会控制企业整个网络，不仅可能导致企业网络瘫痪，同时还有机会盗取企业内部的机密信息。     

一种通用安全攻击测试平台

目前针对缓冲区溢出和格式化字符串漏洞攻击已经提出了很多种解决方法。然而到目前为止,几乎没有一种方法可以解决所有的缓冲区漏洞攻击,绝大多数的方法只能够防范某一些方面的漏洞攻击。另一方面针对已经存在的防范方法缺乏统一的评价标准,没有一种通用的测试程序可以评估所有的安全防范方法的防范效果。为此,论文提出并实现了一个相对完善的通用的安全攻击测试平台,通过它可以测试各种缓冲区溢出防范方法的防范效果。     

基于良性蠕虫的主动遏制技术

基于蠕虫对抗的网络蠕虫主动遏制技术的主导思想是针对恶性蠕虫,设计良性蠕虫,该良性蠕虫的特权提升能力大于或等于恶性蠕虫。良性蠕虫可以追循恶性蠕虫的扩散轨迹,通过远程查杀或网络封锁,对感染恶性蠕虫的不可控网络节点进行主动遏制,阻止其继续对Intemet进行攻击;可以对存在漏洞的易感染网络节点进行远程漏洞修补,以防止其成为恶性蠕虫攻击的目标。     

安氏领信"IDEAL"主动防护全网安全

近年来，信息安全技术取得长足进步，很多用户已部署了安全产品，安全意识也有很大提高，但各种的安全攻击事件和威胁却有增无减。针对系统弱点的漏洞攻击出现越来越快，留给用户的响应时间越来越短。被称为“蠕虫王”的SQL Slammer，每8．5秒感染范围就扩展一倍，在10分钟内感染了全球90％有漏洞的机器，损失难以估计。攻击和威胁越来越趋向利用网络模型中更高层应用的漏洞展开攻击，这在目前的安全体系架构下变得越来越难以防范。     

Win2003自带防火墙的设置

“冲击波”等蠕虫病毒特征之一就是利用有漏洞的操作系统进行端口攻击,因此防范此类病毒的简单方法就是屏蔽不必要的端口,防火墙软件都有此功能,其实对于采用Windows 2003或者Windows XP的用户来说,不需要安装任何其它软件,因为可以利用系统自带的“Internet连接防火墙”来防范黑客的攻击。     

Win2003自带防火墙的设置

“冲击渡”等蠕虫病毒特征之一就是利用有漏洞的操作系统进行端口攻击，因此防范此类病毒的简单方法就是屏蔽不必要的端口，防火墙软件都有此功能，其实对于采用Windows 2003或者Windows XP的用户来说。不需要安装任何其它软件，因为可以利用系统自带的“Internet连接防火墙”采防范黑客的攻击。     

如何应对计算机病毒

●网络病毒的分类 目前流行的网络病毒从类型上分主要有木马病毒和蠕虫病毒.木马病毒实际上是一种后门程序,它常常潜伏在操作系统中监视用户的各种操作,窃取用户账号和密码.蠕虫病毒是一种更先进的病毒,它可以通过多种方式进行传播,甚至是利用操作系统和应用程序的漏洞主动进行攻击,每种蠕虫都包含一个扫描功能模块负责探测存在漏洞的主机,在网络中扫描到存在该漏洞的计算机后就马上传播出去.     

混合的结构化良性蠕虫对抗蠕虫过程的建模与分析

由于良性蠕虫可以主动免疫主机,因此使用良性蠕虫来对抗蠕虫传播正成为一种新的应急响应技术.提出了混合的结构化良性蠕虫,设计了它的工作机制以及部署情况.基于传染病模型原理,用数学模型刻画了混合的结构化良性蠕虫对抗蠕虫的传播过程.最后,对于该模型进行了仿真试验.通过仿真结果,总结了影响混合的结构化良性蠕虫对抗蠕虫传播的四个因素:探针探测和探针的蠕虫检测的响应时间,探针的蠕虫检测率和探测率.混合的结构化良性蠕虫对抗蠕虫的传播模型可以使得人们更好地理解良性蠕虫对抗蠕虫的效果.     

一种遏制网络蠕虫传播的方案

当今是网络技术普及化的时代．但网络技术和计算机技术的发展给网络带来的负面影响也是明显的。目前对网络威胁最大的是木马和蠕虫。蠕虫的攻击给网络用户带来了巨大损失,也给他们留下了深刻印象。因此,蠕虫对网络的破坏性,引起安全人员的重视,安全人员对防治蠕虫提出了各种算法。在查阅相关蠕虫文献后,提出了一种遏制网络蠕虫传播的思路。简述了蠕虫的传播方式和途径,病毒传染机理和病毒破坏机理,提出了如何从寄生于蠕虫的程序,有效防止蠕虫的传播和减小蠕虫的传播范围。     

主动良性蠕虫和混合良性蠕虫的建模与分析

自从1988年Morris蠕虫爆发以来,网络蠕虫就在不断地威胁着网络的安全.传统防范措施已不再适用于蠕虫的防治,使用良性蠕虫来对抗蠕虫正成为一种新的应急响应技术.良性蠕虫的思想就是将恶意的蠕虫转化成良性的蠕虫,而且该良性蠕虫还可以运用相同的感染机制免疫主机.这种方法可以主动地防御恶意蠕虫并且在没有传统的蠕虫防御框架下仍具有潜在的部署能力.首先,分别将主动良性蠕虫和混合良性蠕虫划分成3个子类;然后,基于两因素模型分别对主动良性蠕虫和混合良性蠕虫的3个子类进行建模,推导了在有延迟以及无延迟的情况下6类良性蠕虫的传播模型;最后,通过仿真实验验证了传播模型.更进一步,基于仿真结果讨论了每种良性蠕虫抑制恶意蠕虫的效果,并且得到如下结论:在相同的感染条件下,复合型的混合良性蠕虫抑制蠕虫传播的效果最好.     

多态蠕虫的研究与进展

随着网络系统应用及复杂性的增加,网络蠕虫成为网络系统安全的重要威胁。最近,蠕虫本身又有了新的进展,即多态蠕虫的出现,其通过使用多种变形技术可以很容易地避开现有入侵检测系统的检测,成为未来威胁到互联网络安全的一个重大隐患。目前,针对多态蠕虫的检测技术的研究已经成为现在蠕虫研究的热点。首先综合论述了多态蠕虫本身的结构,然后对近几年针对多态蠕虫的防治技术进行了归纳总结和比较分析,最后给出针对多态网络蠕虫研究的热点问题及展望。     

网络蠕虫和捕食者交互过程建模与分析

网络蠕虫的传播速度极快,能在很短时间内感染大量主机,对网络基础设施构成了极大的威胁。受生物动力系统研究领域中的捕食者/食饵模型的启发,利用数学模型研究了网络蠕虫(食饵)和良性蠕虫(捕食者)间的交互动态行为。为了遏制网络蠕虫的传播,提出了一种交互模型,利用此模型,得到了蠕虫灭绝与否的阈值——基本再生数,研究了捕食者相关参数对交互模型的影响。仿真结果表明,此交互模型能有效遏制蠕虫的传播,能明显减少感染主机数和降低蠕虫传播速度,为遏制蠕虫传播提供了理论指导。     

An Automated Signature-Based Approach against Polymorphic Internet Worms

Capable of infecting hundreds of thousands of hosts, worms represent a major threat to the Internet. However, the defense against them is still an open problem. This paper attempts to answer an important question: How can we distinguish polymorphic worms from normal background traffic? We propose a new worm signature, called the position-aware distribution signature (PADS), which fills the gap between traditional signatures and anomaly-based intrusion detection systems. The new signature is a collection of position-aware byte frequency distributions. It is more flexible than the traditional signatures of fixed strings while it is more precise than the position-unaware statistical signatures. We propose two algorithms based on expectation-maximization (EM) and Gibbs sampling to efficiently compute PADS from a set of polymorphic worm samples. We also discuss how to separate a mixture of different polymorphic worms such that their respective PADS signatures can be calculated. We perform extensive experiments to demonstrate the effectiveness of PADS in separating new worm variants from normal background traffic.     

MyDoom tops virus charts

January has seen two new worms hit networks, MyDoom and Bagle. Although released in late January, MyDoom has eclipsed all the other worms, accounting for a quarter of all reports to anti-virus vendor, Sophos.     

Graph based signature classes for detecting polymorphic worms via content analysis

Malicious softwares such as trojans, viruses, or worms can cause serious damage for information systems by exploiting operating system and application software vulnerabilities. Worms constitute a significant proportion of overall malicious software and infect a large number of systems in very short periods. Polymorphic worms combine polymorphism techniques with self-replicating and fast-spreading characteristics of worms. Each copy of a polymorphic worm has a different pattern so it is not effective to use simple signature matching techniques. In this work, we propose a graph based classification framework of content based polymorphic worm signatures. This framework aims to guide researchers to propose new polymorphic worm signature schemes. We also propose a new polymorphic worm signature scheme, Conjunction of Combinational Motifs (CCM), based on the defined framework. CCM utilizes common substrings of polymorphic worm copies and also the relation between those substrings through dependency analysis. CCM is resilient to new versions of a polymorphic worm. CCM also automatically generates signatures for new versions of a polymorphic worm, triggered by partial signature matches. Experimental results support that CCM has good flow evaluation time performance with low false positives and low false negatives.     

群体智能化蠕虫的扫描与隐蔽攻击模型研究

研究蠕虫的智能化特征,为遏制蠕虫的传播及网络入侵检测提供重要的指导.当前对蠕虫的研究主要以传播模型、传播速度等显性特征为主,而最新蠕虫表现出的智能化与隐蔽性,使得入侵指纹难以确定,给蠕虫检测带来了困难.针对该类蠕虫的特性与网络分布特征,提出了一种新的具备群体智能的蠕虫扫描算法与隐蔽攻击模型.该模型的创新之处在于引入参数...     

On the design of an global intrusion tolerance network architecture against the internet catastrophes

Today’s security communities face a daunting challenges - how to protect the Internet from new, unknown zero day worms. Due to their innovation, these worms are hard to be stopped by traditional security mechanisms. Therefore, instead of trying to prevent the intrusion of every such a thread, this paper proposes a new system architecture, named Virtual Machine based Intrusion Tolerance Network (VMITN), which will tolerate the new worm attack until administrators remove the vulnerability leveraged by the worm. The VMITN adopts a rough-set based recognition mechanism to detect zero day worms and a virtual machine based overlay network to mitigate attacks. We have implemented a concept proof prototype system and use NS-2 simulations to study the performance of the VMITN in a large scale network. The behavior of the famous Witty worm is simulated within the NS-2 module and the simulations result showed that our VMITN architecture can provide the reliability and survivability under severe worm attacks.