浅谈网络蠕虫病毒的预警技术
从 1990 年开始，科研人员将对抗 恶意软件破坏的主要内容锁定在个人电脑的病毒防御上， 把主要 精力放在如何预防、检测和消除攻击个人电脑文件系统的病毒上，虽然邮件病毒的出现，使人们认识到了 Internet 经使病毒的性质发生了变化，但到目前为止对于蠕虫的研究和防御还比较少。
在如此严峻的形势下， 对蠕虫进行深入研究，提出可行的解决方法已经成为了迫切的需要。
一、网络蠕虫防御研究的现状 目前，网络蠕虫研究主要集中在网络蠕虫功能结构、 工作机制、扫描策略、传播模型及蠕虫防御技术方面。
在 蠕虫防御技术方面，White认为 传统的单机防病毒技术已不再适用于对蠕虫的防治。
启动对抗网络蠕虫的项目，力求开发出一个自动 检测和防御蠕虫的软硬件环境。
Dug Song 等人对蠕虫引起的网络流量统计特征做了研究，力图通过对 网络流量异常 检测实现对网络蠕虫的防范。
这些工作中， 一个比较突出的问题是;缺少对蠕虫整体特征的系统性 分析，基本上都是针对特定的蠕虫(如 CodeRed 蠕虫)进行 研究讨论和建模。
由于网络蠕虫具有相当的复杂性和行为不确定性，网络蠕 虫的防御需要多种技术综合使用， 包括设置防火墙、网络 蠕虫检测和预警、网络蠕虫传播 抑制、网络蠕虫漏洞自动 修复、网络蠕虫的接种疫苗、网络蠕虫阻断等。
二、传统网络蠕虫防御方法的不足 虽然传统的通过匹配已知特征码的蠕虫检测方法能够 有效地检测在网络上传播的已知蠕虫，但是存在以下两个 明显的不足: 一是由于采用特征匹配的蠕虫检测方法的前提是已经 获取了蠕虫特征码，所以该方法对于未知蠕虫束手无策， 即使是对于已知蠕虫的简单变种也缺乏有效的识别能力。
二是传统的特征匹配方法从捕获蠕虫到分析出可以识别该蠕虫的特征码需要一个时间过程，而目前蠕虫的传播 速度惊人，在能获取到蠕虫特征码之前，蠕虫已经在网络上大范围地传播开来。
目前，基于行为的检测方法主要根据蠕虫两种行为特征进行检测，一种行为特征是蠕虫在探测扫描阶段产生的大量的扫描行为，这在正常主机中是不常见的。
另外一种 行为特征是蠕虫在负载传播的过程中会产生很多相同内容 的蠕虫副本。
基于蠕虫扫描行为特征的检测方式虽然 检测速度较快，但是仅使用该种行为特征作为蠕虫判定的依据会产生误报。
而通过识别网络中重复出现的数据包内容虽然能够更准确地识别蠕虫，但是由于在检测时要进行 大量的字符串匹配工作，所以在检测时间上有一个滞后问题，不能及时地检测到蠕虫。
三、网络蠕虫的工作机制 蠕虫的工作机制可以分为以下四个步骤。
蠕虫对本地和目标主机进行信息收集，收集的信息包括主机系统信息、用户信息 mail列表、信任或授权给 主机进行扫描，探测是否存在漏洞，然后决定是否进行 我推进。
采用各种形式保存蠕虫副本，完成对目标主机 感染。
四、应对网络蠕虫的办法 网络蠕虫通常以很高的频率盲目地扫描大量的 IP 以寻找攻击目标，目前而言， 主机节点在 IPv4 地址 空间的分布相当稀疏， 对外提供服务也非常有限， 其中 一部分 还隐藏在防火墙的后面， 这使得网络蠕虫盲目探寻的成功率很低。
因此，蠕虫在传播过程中会产生持久 的高频度的探寻失败， 不但呈现出清晰的一对多通信模 而且其源地址数量也在持续增长， 这在正常通信中 是相当罕见的， 可以作为检测依据， 一般通过监测网络 ICMP-T3、 TCP- SYN、TCP- RST 报文来实现对 蠕虫的检测。
利用七元组(时间戳， 源主机， 源端口， 目标主机， 目标端口， 数据大小， 数据内容)描述主机发起的通信， 若大量的主机在短时间内发起大量的连接请求， 且目标端口相同(请求相同的服务)、数据包大小一定、数据包内容相 则判定蠕虫入侵。
其具体实现采用分布式体系结构，利用数据挖掘和异常检测对各探测点采集的数据作关联分 若发现大规模的相似数据传出行为则触发警报。
可以通过收集和分析网络中 ICMP- T3 数据包来检 蠕虫的方法。
传感器监测路由器的镜像端口，捕获路 产生或转发的ICMP- TCP 报文， 将其上传至收集 集器负责整理和缓存采集到数据;分析器按照设定的流程 处理数据， 若发现某个主机体现出扫描行为则 产生扫描警 关联器负责整合扫描警报，若发现具有 扫描行为的主机超过某个阈值则产生蠕虫警报。
因此，通过蠕虫传播时的网络行为特征，对蠕虫病毒 进行隔离和防御，减少其危害性，对于当前网络安全具有 重要补充作用。