網(wǎng)絡(luò)蠕蟲的分類及其傳播模型研究

摘要:近幾年，蠕蟲頻繁爆發(fā)，已成為互聯(lián)網(wǎng)安全的主要威脅。為了清楚地理解蠕蟲所造成的威脅，很有必要對(duì)蠕蟲進(jìn)行分類，以便進(jìn)行深入的研究。該文對(duì)目前蠕蟲傳播模型進(jìn)行了深入地研究，主要包括隨機(jī)網(wǎng)絡(luò)和無(wú)尺度網(wǎng)絡(luò)上的模型。指出在構(gòu)建無(wú)尺度網(wǎng)絡(luò)時(shí)現(xiàn)有算法的一個(gè)共同缺陷——沒(méi)有考慮鏈路的成本。最后預(yù)測(cè)了蠕蟲的發(fā)展趨勢(shì)，并提出了一些蠕蟲防御的措施。

關(guān)鍵詞:網(wǎng)絡(luò)蠕蟲;傳播模型;無(wú)尺度網(wǎng)絡(luò);惡意代碼

中圖分類號(hào):TP393文獻(xiàn)標(biāo)識(shí)碼:A文章編號(hào):1009-3044(2009)27-7635-03

Research of Internet Worm Taxonomy and Propagation Model

XIE Chun-yan1， MA Hai-bin2， LIANG Wei3

(1.College of Physics Science and Information Engineering， Hebei Normal University， Shijiazhuang 050016， China;2.College of Career Technology， Hebei Normal University， Shijiazhuang 050016， China;3.International School in Hebei Province， Shijiazhuang 050061， China)

Abstract: In recent years， the worms that had a dramatic increase in the frequency and virulence of such outbreaks have become one of the major threats to the security of the Internet. In order to clearly understand the threat caused by Internet worm， it is necessary to classify the worms so that we can thoroughly study them. The taxonomy principles are mainly based on scanning strategy， propagation way， destructive capability， worm author’s motivation and so on. The design of precise worm propagation models makes for understanding the propagation mechanism of worm so that we can utilize more efficient prevention approaches. This paper thorough investigates current worm propagation models， which are mainly based on random network and scale-free network. A common drawback in existing algorithms that does not consider the cost of the links is pointed out when scale-free network is established. Finally， the trends of worm are forecasted and some prevention ways are pointed out.

Key words: network worm; propagation model; scale-free network; malicious code

現(xiàn)在網(wǎng)絡(luò)蠕蟲越來(lái)越容易傳播，從第一個(gè)蠕蟲——Morris蠕蟲到現(xiàn)在出現(xiàn)過(guò)很多種蠕蟲，為了能更好地防御蠕蟲，就必須理解蠕蟲的不同屬性(掃描策略、激活方式、傳播途徑等)、蠕蟲編寫者的意圖和構(gòu)建準(zhǔn)確的傳播模型，盡量變被動(dòng)挨打?yàn)橹鲃?dòng)出擊，降低其造成的損失。

1 網(wǎng)絡(luò)蠕蟲的定義及分類

網(wǎng)絡(luò)蠕蟲是無(wú)須計(jì)算機(jī)使用者干預(yù)即可運(yùn)行的獨(dú)立程序，它通過(guò)不停地獲得網(wǎng)絡(luò)中存在漏洞的計(jì)算機(jī)上的部分或全部控制權(quán)來(lái)進(jìn)行傳播。蠕蟲與病毒的最大區(qū)別在于它不需要人為干預(yù)，而且能夠自主不斷地復(fù)制和通過(guò)網(wǎng)絡(luò)傳播。

D.Ellis[1]提出了一個(gè)“生命周期”(“l(fā)ife cycle”)的概念，利用生命周期把整個(gè)蠕蟲的傳播過(guò)程分成了若干階段，即初始階段、激活負(fù)載階段、網(wǎng)絡(luò)傳播階段、發(fā)現(xiàn)感染目標(biāo)階段、網(wǎng)絡(luò)探測(cè)階段、攻擊階段、感染階段，并給出了蠕蟲感染的條件和一般蠕蟲的生成算法，詳見(jiàn)文獻(xiàn)[1]。N. Weaver[2] 根據(jù)目標(biāo)發(fā)現(xiàn)和選擇策略、激活方式、蠕蟲攜帶負(fù)載的方式、惡意攻擊者的類型等角度對(duì)蠕蟲分類，本文嘗試從別的不同角度，如蠕蟲的掃描策略，傳播途徑，破壞能力，蠕蟲編寫者的意圖等角度對(duì)蠕蟲進(jìn)行分類。

1.1 蠕蟲的掃描策略

影響蠕蟲傳播的主要因素是如何能快速找到新的目標(biāo)主機(jī)，所以掃描方法的性能直接決定著蠕蟲傳播的速度。下面是幾種常用的掃描方法。

1) 隨機(jī)掃描法(Random Scanning):隨機(jī)掃描是感染蠕蟲的計(jì)算機(jī)在尋找新的攻擊目標(biāo)時(shí)不知道哪些計(jì)算機(jī)系統(tǒng)有漏洞，隨機(jī)的選擇網(wǎng)上計(jì)算機(jī)進(jìn)行掃描，所以掃描的目標(biāo)為IPV4所有地址空間，即 Ω=232 。一般情況下，隨機(jī)掃描由于掃描地址空間大，傳播速度較慢。

2) 基于目標(biāo)列表的掃描(Hit-list Scanning):Staniford[3]介紹了一種基于目標(biāo)列表的掃描方法，這種蠕蟲在傳播之前先搜集一些有漏洞的計(jì)算機(jī)地址列表，傳播時(shí)先感染這些地址列表中的計(jì)算機(jī)，然后這些感染的計(jì)算機(jī)再隨機(jī)掃描互聯(lián)網(wǎng)上的其它計(jì)算機(jī)。采用Hit-list掃描的蠕蟲要比采用隨機(jī)掃描的蠕蟲傳播的速度快得多。

3) 路由掃描法(Routing Scanning):Zou[4]中介紹了一種“路由蠕蟲”，它采用BGP路由表中的地址來(lái)減小要掃描的地址空間Ω。若采用路由掃描法其探測(cè)地址空間將比隨機(jī)掃描減小，感染率將增大，所以傳播速度會(huì)增加。但是，“路由蠕蟲”由于要攜帶地址信息，使得自身的代碼變長(zhǎng)，會(huì)降低蠕蟲傳播速度。

4) 分而治之掃描(Divide-Conquer Scanning):分而治之掃描的主要思想是:在釋放蠕蟲之前，作者需要收集一個(gè)10000到50000個(gè)有漏洞且網(wǎng)絡(luò)連接良好主機(jī)的列表，在傳播時(shí)，蠕蟲給每個(gè)受害主機(jī)發(fā)送一個(gè)子列表，受害主機(jī)就按照子列表進(jìn)行掃描。此掃描的特點(diǎn)是:隱蔽性強(qiáng)，通過(guò)逐漸分解列表，蠕蟲越來(lái)越小;掃描造成的流量也進(jìn)一步減小，更不容易檢測(cè)。但是，如果分得列表的主機(jī)被關(guān)掉或死機(jī)，那這部分列表就會(huì)丟失，這種情況發(fā)生的越早，對(duì)蠕蟲傳播的影響越大。

5) DNS掃描法(DNS Scanning):蠕蟲從DNS服務(wù)器得到的IP地址建立目標(biāo)主機(jī)地址列表，優(yōu)點(diǎn)是這些地址都是可用的，提高了掃描的準(zhǔn)確度。缺點(diǎn)也很多:① 這個(gè)地址列表不易得到;② 列表涉及范圍太小，因?yàn)槎际莵?lái)自同一個(gè)DNS服務(wù)器;③ 蠕蟲需要攜帶一個(gè)大的地址列表，傳播速度受限。

6) 掃描方法的性能比較:這幾種掃描方法根本不同之處在于目的主機(jī)列表的選擇上，當(dāng)列表大小相同時(shí)，蠕蟲感染其它主機(jī)的時(shí)間主要取決于這個(gè)列表的有效率，因?yàn)檫@個(gè)列表可能包括未分配或保留的地址。地址列表的粒度越小，蠕蟲掃描越隱蔽，但蠕蟲代碼也就越大，所以需要在地址列表大小和蠕蟲傳播速度間找一個(gè)合理的平衡。圖1給出了上述幾種掃描方法的性能比較。

比較三種掃描方法所采用的實(shí)驗(yàn)環(huán)境為:360000個(gè)有漏洞主機(jī)，感染率β為0.00000008，hitlist為2000，初始感染主機(jī)數(shù)為10。由圖1比較可知，路由掃描法性能最好，傳播速度最快，Hit-list掃描法在初始階段傳播較快，隨機(jī)掃描法性能最差。其它掃描方法受實(shí)驗(yàn)條件所限，在此沒(méi)作比較。

1.2 蠕蟲的傳播途徑

1)利用Email:此類蠕蟲通過(guò)MAPI獲得感染機(jī)器的通訊錄中郵件地址列表，然后通過(guò)Windows 的郵件客戶端把蠕蟲代碼作為郵件附件發(fā)送給其他主機(jī)， 而未打補(bǔ)丁的IE會(huì)自動(dòng)執(zhí)行郵件中的附件，從而使蠕蟲激活，即使打了補(bǔ)丁，只要用戶打開附件，蠕蟲代碼也會(huì)執(zhí)行，從而可以感染更多主機(jī)。這類蠕蟲有求職信蠕蟲(W32.wantjob.worm)、小郵差蠕蟲(W32.Mimail.A.Worm)等;

2)利用FTP: 此類蠕蟲比較少見(jiàn)，且危害不是很大，例子有Linux.Ramen.Worm。

3)利用Web 服務(wù)器:此類蠕蟲通過(guò)掃描IP地址獲得可以利用的IIS服務(wù)器，一旦找到可用的IIS服務(wù)器，它就設(shè)法獲得本地的目錄列表， 然后再利用TFTP發(fā)送一個(gè)DDL文件到目標(biāo)服務(wù)器上，例子有尼姆達(dá)蠕蟲(W32.Nimda.Worm)等。

4)利用瀏覽器:這類蠕蟲比較常見(jiàn)，尼姆達(dá)蠕蟲是第一個(gè)使用這種機(jī)制進(jìn)行傳播的病毒，這種傳播機(jī)制能夠使蠕蟲代碼穿透防火墻。紅色代碼(W32.Codered.Worm)也屬此類。

5)利用系統(tǒng)漏洞:此類蠕蟲通過(guò)Microsoft Windows 操作系統(tǒng)中的某漏洞進(jìn)行傳播。典型例子是“沖擊波”蠕蟲(W32.Blaster.Worm)。

6)利用數(shù)據(jù)庫(kù):蠕蟲可以利用網(wǎng)絡(luò)上的數(shù)據(jù)庫(kù)進(jìn)行傳播，典型例子是W32/SQL.Slammer.Worm。

此外，蠕蟲的傳播途徑還有:通過(guò)NetBios，它利用打開的局域網(wǎng)共享資源進(jìn)行傳播，如W32.Hai.Worm、W32.Dalbug.Worm等;通過(guò)手機(jī)，例如首只手機(jī)蠕蟲-食人魚蠕蟲SymbOS.Cabir，它會(huì)不斷傳送惡意程序給涵蓋范圍內(nèi)具備藍(lán)芽功能的手機(jī)。利用QQ、MSN等即時(shí)通訊軟件傳播，如GFleming、Cool 蠕蟲等。

1.3 蠕蟲的破壞能力

根據(jù)蠕蟲的破壞能力可將蠕蟲分為無(wú)害型、降低系統(tǒng)或網(wǎng)絡(luò)性能型、破壞型三類。

1)無(wú)害型:此類蠕蟲感染主機(jī)后，會(huì)在主機(jī)磁盤上建立很多垃圾文件，減少磁盤的可用空間，除此之外，對(duì)系統(tǒng)沒(méi)有其他影響。早期的很多蠕蟲屬于此類。

2)降低系統(tǒng)或網(wǎng)絡(luò)性能型: 這類蠕蟲會(huì)消耗大量主機(jī)資源，使主機(jī)速度變慢;在網(wǎng)絡(luò)上形成垃圾流量，造成擁塞，降低網(wǎng)絡(luò)性能。

3)破壞型:這類蠕蟲會(huì)刪除主機(jī)程序、破壞數(shù)據(jù)、清除系統(tǒng)內(nèi)存區(qū)和操作系統(tǒng)中重要數(shù)據(jù)。

1.4 蠕蟲編寫者的意圖

蠕蟲編寫者，出于不同的目的，制造了數(shù)萬(wàn)種蠕蟲，而且由于Internet的迅猛發(fā)展，人們獲得蠕蟲知識(shí)的途徑也越來(lái)越多。

1) 好奇心型:大量的蠕蟲出自學(xué)生之手，學(xué)習(xí)這些編程方法對(duì)學(xué)生來(lái)說(shuō)是一個(gè)很大的挑戰(zhàn)，他們往往在技術(shù)上追求精益求精，絲毫未感到自己的行為對(duì)他人造成的影響，屬于無(wú)意識(shí)攻擊行為，制造出新的蠕蟲(如ILoveYou蠕蟲、Code Red 蠕蟲)。

2)惡作劇型:這些作者單純?yōu)榱孙@示自己的能力，多為自?shī)首詷?lè)或開別人玩笑。但有的蠕蟲造成的危害非常大，如Blaster蠕蟲，編寫導(dǎo)致近百萬(wàn)電腦中毒的振蕩波蠕蟲作者編寫這種蠕蟲的原始動(dòng)機(jī)可能只是為了幫助其母親的小公司招攬生意。

3)政治目的型:任何政治因素都會(huì)反映到網(wǎng)絡(luò)領(lǐng)域。主要表現(xiàn)有:a.敵對(duì)國(guó)之間利用網(wǎng)絡(luò)的破壞活動(dòng);b.個(gè)人及組織對(duì)政府不滿意而產(chǎn)生的破壞活動(dòng)。這類黑帽的動(dòng)機(jī)不是錢，幾乎永遠(yuǎn)都是為了政治，一般采用的手法包括更改網(wǎng)頁(yè)、植入蠕蟲等，如Bobax.h蠕蟲(薩達(dá)姆蠕蟲)。

2 蠕蟲的傳播模型

一個(gè)精確的蠕蟲傳播模型可以使人們確定蠕蟲在傳播過(guò)程中的弱點(diǎn)，能更精確的預(yù)測(cè)蠕蟲所造成的損失。目前已有很多學(xué)者對(duì)蠕蟲進(jìn)行了深入研究，提出了一些模型。

2.1 隨機(jī)網(wǎng)絡(luò)上的傳播模型

本文介紹其中的兩種經(jīng)典模型[2，13]，這兩個(gè)應(yīng)用最為廣泛，研究也最為徹底。

1)經(jīng)典的、簡(jiǎn)單的流行病模型(SIS模型)

在此模型中，每一臺(tái)主機(jī)只有兩種狀態(tài):易感或感染，而且一旦被傳染就永遠(yuǎn)保持感染狀態(tài)，其狀態(tài)轉(zhuǎn)移只能表示為:易感→感染，其模型表示為公式(1):

其中L(t) 表示在時(shí)刻t 被感染的主機(jī)數(shù)，N 為主機(jī)總數(shù)，β表示蠕蟲傳播模型中的感染率。當(dāng)t=0 時(shí)，有L(0) 個(gè)已感染的主機(jī)，有N-L(0) 個(gè)易感的主機(jī)。

2)一般的流行病模型:Kermack-Mckendrick模型(SIR模型)

在Kermack-Mckendrick模型中考慮了感染主機(jī)的恢復(fù)，它假定在發(fā)病期間，一些受感染的主機(jī)可以恢復(fù)為正常狀態(tài)或死亡，且對(duì)此傳染病具有免疫功能，因此每個(gè)主機(jī)具有三種狀態(tài):疑似、感染或恢復(fù)，其狀態(tài)轉(zhuǎn)移可表示為易感→感染→恢復(fù)，或永遠(yuǎn)保持易感狀態(tài)。基于上面的簡(jiǎn)單模型(1)得到Kermack-Mckendrick模型，表示為:

其中S(t)，R(t) 分別表示表示在時(shí)刻t 易感的主機(jī)數(shù)和在時(shí)刻t 從感染主機(jī)中恢復(fù)的主機(jī)數(shù)，y 表示蠕蟲傳播模型中的恢復(fù)率。從Kermack-Mckendrick模型得出了一個(gè)重要的理論——傳染病爆發(fā)定理:一個(gè)大規(guī)模蠕蟲爆發(fā)的充分必要條件是初始疑似主機(jī)的數(shù)目S(0)>ρ，其中ρ=γ/β ，表示相對(duì)恢復(fù)率。

Grassberger指出網(wǎng)絡(luò)傳播的Kermack-Mckendrick模型可以等價(jià)于網(wǎng)絡(luò)上的鍵逾滲問(wèn)題[5]，該結(jié)論最近由Sander等推廣到了更一般的情形[6]。假設(shè)(2)式中的β和γ并不是對(duì)每個(gè)節(jié)點(diǎn)都一致的，而是分別服從分布 Pi(β) 和Pr

2.2 無(wú)尺度網(wǎng)絡(luò)上的傳播模型

隨著大量數(shù)據(jù)的產(chǎn)生和計(jì)算機(jī)的應(yīng)用，人們發(fā)現(xiàn)在現(xiàn)實(shí)世界里真實(shí)的網(wǎng)絡(luò)與隨機(jī)網(wǎng)絡(luò)模型相差甚遠(yuǎn)。許多自然狀態(tài)下的網(wǎng)絡(luò)(如萬(wàn)維網(wǎng))表現(xiàn)出一種特別的屬性:少數(shù)節(jié)點(diǎn)的連接數(shù)遠(yuǎn)高于平均的節(jié)點(diǎn)連接數(shù)。Barabasi A.L. 和Albert R.教授把這類網(wǎng)絡(luò)被稱為“無(wú)尺度網(wǎng)絡(luò)”，它屬于高度非均一性的網(wǎng)絡(luò)。它具有真實(shí)網(wǎng)絡(luò)中最常見(jiàn)的兩個(gè)特性:增長(zhǎng)(growth)和偏好連接(preferential attachment)。第一個(gè)特點(diǎn)表明無(wú)尺度網(wǎng)絡(luò)可以不斷地?cái)U(kuò)張。第二個(gè)特點(diǎn)則意味著兩個(gè)節(jié)點(diǎn)連接能力的差異可以隨著網(wǎng)絡(luò)的擴(kuò)張而增大;最初連接較多的節(jié)點(diǎn)可以形成更多的連接，即“富者愈富”。無(wú)尺度網(wǎng)絡(luò)的生成規(guī)則(BA模型)如下:取初始m0 個(gè)頂點(diǎn)任意連接或完全連接。每一步在原網(wǎng)絡(luò)G(t-1) 的基礎(chǔ)上加上一個(gè)新的頂點(diǎn)，同時(shí)加上從此頂點(diǎn)出發(fā)的m(m≤m0) 條邊，形成新的網(wǎng)絡(luò)G(t) 。其中新加邊的另一個(gè)端點(diǎn)按照正比于頂點(diǎn)度數(shù)的分布

隨機(jī)選取。重復(fù)以上新加點(diǎn)的過(guò)程足夠多步所形成的網(wǎng)絡(luò)的各頂點(diǎn)的度滿足冪律分布p(k)～k-z 。指數(shù) τ=3與模型的參數(shù)m0， m無(wú)關(guān)。數(shù)值模擬表明，當(dāng)m 取某一范圍內(nèi)的隨機(jī)數(shù)時(shí)，指數(shù)也不變。

經(jīng)典的傳播理論認(rèn)為[9]，存在大于零的閾值λ，當(dāng) λ>λc 時(shí)蠕蟲在網(wǎng)絡(luò)中迅速傳播，并持久存在;當(dāng) λ<λc 時(shí)，蠕蟲以指數(shù)速度消亡，其中λ=β/γ，表示有效感染率，不失一般性，假設(shè)γ=1。由于蠕蟲波及的范圍與傳播強(qiáng)度正相關(guān)，因此根據(jù)經(jīng)典的傳播理論，蠕蟲若是持久存在，則必然會(huì)感染大量主機(jī)。但實(shí)證研究表明，蠕蟲僅感染少數(shù)主機(jī)就能能夠長(zhǎng)期存在[10]。Pastor-Satorras等利用平均場(chǎng)的方法求得了隨機(jī)網(wǎng)絡(luò)上的SIS傳播模型

其中ρk(t) 表示度為k 的感染節(jié)點(diǎn)的相對(duì)密度，?專ρk(t) 表示連接到感染節(jié)點(diǎn)的特定鏈路的概率，

解(5)和(6)，可以得到下面自治方程(7)

(8)式是針對(duì)非關(guān)聯(lián)網(wǎng)絡(luò)的，對(duì)于關(guān)聯(lián)網(wǎng)絡(luò)，Boguna和Pastor-Satorras給出了SIS模型傳播的閾值為[12]

其中Λm為鄰接矩陣的最大特征值。Barthelemy等人細(xì)致地研究了SIS模型中蠕蟲爆發(fā)的特性，發(fā)現(xiàn)傳播的動(dòng)力學(xué)結(jié)構(gòu)是具有層次性的，即從度大的節(jié)點(diǎn)群一直到度小的節(jié)點(diǎn)群[13]。而通過(guò)含權(quán)無(wú)標(biāo)度網(wǎng)絡(luò)上的傳播動(dòng)力學(xué)特性的研究發(fā)現(xiàn)邊權(quán)對(duì)傳播動(dòng)力學(xué)特征有明顯的影響[14]。從蠕蟲爆發(fā)開始，有一段很短的時(shí)間，蠕蟲以較慢的速度傳播，然后迅速上升到一個(gè)很高的峰值，繼而以冪函數(shù)形式下降。在這個(gè)過(guò)程中，蠕蟲優(yōu)先感染度大的節(jié)點(diǎn)，但并沒(méi)有出現(xiàn)明顯的層次效應(yīng)。

3 結(jié)論及下一步工作

蠕蟲種類繁多，新蠕蟲不斷出現(xiàn)，其特征難以預(yù)見(jiàn);蠕蟲與新技術(shù)的融合，使得蠕蟲傳播速度變快和影響范圍變大。下一步工作包括:研究蠕蟲的網(wǎng)絡(luò)傳播特性、網(wǎng)絡(luò)流量特性，并建立數(shù)學(xué)模型;研究蠕蟲傳播和網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)的關(guān)系，完善蠕蟲的傳播模型，研究各參數(shù)對(duì)模型的影響，使之更接近實(shí)際情況;建立蠕蟲自動(dòng)預(yù)警系統(tǒng)等。

參考文獻(xiàn):

[1] Ellis D. Worm anatomy and model. The First Workshop on Rapid Malcode， 2003: 42-50， Washington， DC ， ACM Press.

[2] Weaver N， Paxson V， Staniford S， et al. A taxonomy of computer worms. The First Workshop on Rapid Malcode (WORM)， 2003:11-18， Washington， DC， ACM Press .

[3] Weaver N. Potential strategies for high speed active worms: a worst case analysis. U.C. Berkeley BRASS group. 2002.3:1-9.

[4] Cliff C Z， Towsley D， Gong W， et al. Routing Worm: a Fast， Selective Attack Worm based on IP Address Information. Univ. Massachusetts Technical Report TRCSE-03-06， 2003.11.

[5] Grimmett G R. Percolation. Berlin: Springer-Verlag，1989.

[6] Sander L M， Warren C P， Sokolov I， et al. Percolation on disordered networks as a model for epidemics. Math Biosci， 2002: 180， 293-305.

[7] Newman M E J. Spread of epidemic disease on networks. Phys Rev E， 2002， 66， 016128.

[8] Pastor-Satorras， R. ， A. Vespignani. Epidemic spreading in scale-free networks， Physical Review Letters，2001(86): 3200-3203.

[9] Anderson R M， May R M. Infectious Diseases of Humans. Oxford: Oxford University Press， 1992.

[10] Kephart J O， Sorkin G B， Chess D M， et al. Fighting Computer Viruses. Sci Am，1997:277，56-61.

[11] Kephart J O， White S R， Chess D M. Computers and epidemiology. IEEE Spectr， 1993，30，20-26.

[12] Bogu?á M， Pastor-Satorras R. Epidemic spreading in correlated complex networks. Phys Rev E，2002，66，047104.

[13] Barthelemy M， Barrat A， Pastor-Satorras R， et al. Velocity and Hierarchical Spread of Epidemic Outbreaks in Scale-Free Networks.Phys Rev Lett，2004，92， 178701.

[14] Yan G， Zhou T， Wang J， et al. Epidemic spread in weighted scale-free networks.(Chin Phys Lett， Accepted 2004) arXiv: cond-mat/0408049.