基于暗網(wǎng)的早期檢測技術(shù)在專(zhuān)用網(wǎng)絡(luò )中的應用

摘要：為了早期檢測網(wǎng)絡(luò )蠕蟲(chóng)，設計實(shí)現了一個(gè)基于暗網(wǎng)的可視化蠕蟲(chóng)早期檢測系統，并在某專(zhuān)用網(wǎng)絡(luò )中進(jìn)行了對比實(shí)驗。結果顯示，該系統在專(zhuān)用網(wǎng)絡(luò )中比傳統入侵檢測系統能更早發(fā)現蠕蟲(chóng)等網(wǎng)絡(luò )攻擊，且時(shí)間提前量十分可觀(guān)，說(shuō)明基于暗網(wǎng)的早期檢測技術(shù)在專(zhuān)用網(wǎng)絡(luò )中有良好的應用前景。
關(guān)鍵詞：暗網(wǎng)；蠕蟲(chóng)；早期檢測；專(zhuān)用網(wǎng)絡(luò )；可視化

暗網(wǎng)檢測技術(shù)通過(guò)分析流向網(wǎng)絡(luò )中未用IP地址段的數據來(lái)檢測蠕蟲(chóng)、黑客掃描、DoS攻擊等網(wǎng)絡(luò )攻擊行為，具有很高的準確性。銀行、鐵路、軍隊等同國際互聯(lián)網(wǎng)隔離的專(zhuān)用網(wǎng)絡(luò )中存在大量未用IP地址段，應用暗網(wǎng)檢測技術(shù)具有先天優(yōu)勢。本文實(shí)現了一個(gè)基于暗網(wǎng)的可視化蠕蟲(chóng)檢測系統，并應用于專(zhuān)用網(wǎng)絡(luò )。

1 暗網(wǎng)的概念和相關(guān)研究
網(wǎng)絡(luò )中的未用IP地址段被稱(chēng)作暗網(wǎng)(darknet)、黑洞網(wǎng)絡(luò )(black hole)等，其中不應該有合法流量，而蠕蟲(chóng)、黑客、DoS攻擊和錯誤配置等會(huì )產(chǎn)生流向暗網(wǎng)的流量，因此從中可以發(fā)現攻擊。在暗網(wǎng)研究方面，主要有Network Telescope項目組和Internet．Motion Sensor項目組等。文獻介紹了不同的暗網(wǎng)檢測系統并進(jìn)行分析，但這些研究都是在因特網(wǎng)中進(jìn)行的且大部分采用仿真方法。

2 可視化檢測系統
2．1 主要思想
系統采用了一種可視化檢測方法。首先提取IP數據包中的三個(gè)首部字段：源IP地址(用Is表示)，目的IP地址(用Id來(lái)表示)，目的端口號(用Pd來(lái)表示)。建立分別以這三個(gè)值為特征維度的三維直角坐標系，然后將每一個(gè)IP數據包按照三個(gè)首部字段在該三維坐標系中描繪一個(gè)點(diǎn)，如圖1所示。從圖中可以發(fā)現一些明顯、有規律的圖形。這些特征圖形表示端口掃描(portscan)、主機掃描(hostscan)和拒絕服務(wù)(DoS)等各種攻擊。根據這個(gè)特點(diǎn)將網(wǎng)絡(luò )攻擊從全部數據流中區分出來(lái)，進(jìn)而在三維坐標系中將其表現出來(lái)，達到直觀(guān)的可視化效果。