關鍵字:暗網(wǎng) 蠕蟲 專用網(wǎng)絡可視化
為了早期檢測網(wǎng)絡蠕蟲,設計實現(xiàn)了一個基于暗網(wǎng)的可視化蠕蟲早期檢測系統(tǒng),并在某專用網(wǎng)絡中進行了對比實驗。結(jié)果顯示,該系統(tǒng)在專用網(wǎng)絡中比傳統(tǒng)入侵檢測系統(tǒng)能更早發(fā)現(xiàn)蠕蟲等網(wǎng)絡攻擊,且時間提前量十分可觀,說明基于暗網(wǎng)的早期檢測技術在專用網(wǎng)絡中有良好的應用前景。
暗網(wǎng)檢測技術通過分析流向網(wǎng)絡中未用IP地址段的數(shù)據(jù)來檢測蠕蟲、黑客掃描、DoS攻擊等網(wǎng)絡攻擊行為,具有很高的準確性。銀行、鐵路、軍隊等同國際互聯(lián)網(wǎng)隔離的專用網(wǎng)絡中存在大量未用IP地址段,應用暗網(wǎng)檢測技術具有先天優(yōu)勢。本文實現(xiàn)了一個基于暗網(wǎng)的可視化蠕蟲檢測系統(tǒng),并應用于專用網(wǎng)絡。
1 暗網(wǎng)的概念和相關研究
網(wǎng)絡中的未用IP地址段被稱作暗網(wǎng)(darknet)、黑洞網(wǎng)絡(black hole)等,其中不應該有合法流量,而蠕蟲、黑客、DoS攻擊和錯誤配置等會產(chǎn)生流向暗網(wǎng)的流量,因此從中可以發(fā)現(xiàn)攻擊。在暗網(wǎng)研究方面,主要有Network Telescope項目組和Internet.Motion Sensor項目組等。文獻介紹了不同的暗網(wǎng)檢測系統(tǒng)并進行分析,但這些研究都是在因特網(wǎng)中進行的且大部分采用仿真方法。
2 可視化檢測系統(tǒng)
2.1 主要思想
系統(tǒng)采用了一種可視化檢測方法。首先提取IP數(shù)據(jù)包中的三個首部字段:源IP地址(用Is表示),目的IP地址(用Id來表示),目的端口號(用Pd來表示)。建立分別以這三個值為特征維度的三維直角坐標系,然后將每一個IP數(shù)據(jù)包按照三個首部字段在該三維坐標系中描繪一個點,如圖1所示。從圖中可以發(fā)現(xiàn)一些明顯、有規(guī)律的圖形。這些特征圖形表示端口掃描(portscan)、主機掃描(hostscan)和拒絕服務(DoS)等各種攻擊。根據(jù)這個特點將網(wǎng)絡攻擊從全部數(shù)據(jù)流中區(qū)分出來,進而在三維坐標系中將其表現(xiàn)出來,達到直觀的可視化效果。
2.2 系統(tǒng)簡介
系統(tǒng)主界面由4個界面組成,如圖2所示。攻擊坐標圖在三維坐標系和3個二維截面坐標系中實時顯示當前攻擊。攻擊記錄查詢界面根據(jù)用戶輸入的查詢條件以表格形式顯示歷史記錄信息。攻擊記錄統(tǒng)計界面則根據(jù)用戶輸入的查詢條件和設置用柱圖、餅圖、折線圖三種形式顯示歷史記錄報表。記錄坐標圖則根據(jù)用戶輸入的查詢條件在三維坐標系和3個二維截面坐標系中顯示歷史攻擊記錄圖形。系統(tǒng)還具有根據(jù)包內(nèi)容過濾的規(guī)則設置、閾值設置和數(shù)據(jù)包離線分析功能,方便用戶操作。
3 實際網(wǎng)絡實驗
3.1 實驗環(huán)境
該專用網(wǎng)絡技術架構(gòu)同因特網(wǎng)一樣,但整個網(wǎng)絡與因特網(wǎng)完全隔離。網(wǎng)管中心能夠?qū)⑷亢诵穆酚善鞯木W(wǎng)絡流量通過鏡像方式匯聚導入該網(wǎng)管中心配置的入侵檢測系統(tǒng)。實驗時將暗網(wǎng)流量導入可視化檢測系統(tǒng)。實驗在不同時間進行了三次,之后對網(wǎng)管中心的入侵檢測系統(tǒng)和本系統(tǒng)的檢測結(jié)果進行了比對。
3.2 實驗結(jié)果
實驗結(jié)果如表1所示(出于隱私需要,隱藏IP地址的部分字段)??梢钥闯觯?條記錄外,其他記錄都表明本系統(tǒng)能夠比中心現(xiàn)用的入侵檢測系統(tǒng)更早地檢測出攻擊。最早的早了58個多小時,大約3天。對于大規(guī)模傳播的蠕蟲來說,這么早的檢測具有重要意義。
4結(jié)語
設計實現(xiàn)了一個基于暗網(wǎng)的早期檢測系統(tǒng),實驗表明該系統(tǒng)能夠?qū)θ湎x實施早期檢測,說明基于暗網(wǎng)的檢測技術在專用網(wǎng)絡中有良好的應用前景,可以在銀行、鐵路、軍隊等系統(tǒng)的專用網(wǎng)絡中發(fā)揮巨大作用。