网络蠕虫扫描策略和检测技术的研究

蠕虫病毒的分析与防范作者：朱慧爽来源：《科学与财富》2019年第06期摘要：蠕虫病毒给网络环境带来了巨大的灾难。

日益严重的蠕虫问题，不仅给用户造成了巨大的损失，而且严重威胁着国家的信息安全。

蠕虫的检测和防范成为当前网络安全研究的热点。

关键词：蠕虫;病毒;网络安全1.蠕虫病毒简介蠕虫病毒与一般病毒不同。

蠕虫病毒不需要将其自身附着到宿主程序，是一种独立的智能程序。

它利用网络进行传播并能够自我复制，爆发时消耗大量的系统资源，使其他程序运行减慢甚至停止，最后导致系统和网络瘫痪。

“熊猫烧香”就是一个典型的感染型蠕虫病毒，其感染行为主要包括：复制自身到系统目录;创建启动项;在各分区根目录生成病毒副本;修改“显示所有文件和文件夹”设置;尝试关闭注册表编辑器、系统配置实用程序、Windows任务管理器、杀毒软件等。

2.蠕虫的检测技术（1）基于蠕虫特征码的检测技术首先将一些蠕虫恶意代码的特征值收集起来，然后逐个创建每一个特征值的特征码规则库。

检测时，利用在特征码和特征码规则库中的具体规则与要检测的网络行为进行匹配，如果存在异常就会匹配成功，对于这样的异常应当给出警告或者拒绝访问。

这样的检测方式有一定的限制，如果有些蠕虫病毒在规则库中没有匹配成功，就无法检测出蠕虫。

（2）基于蠕虫行为特征的检测技术Bakos提出了一种蠕虫行为特征检测技术，利用了ICMP目标主机不可达报文来判断识辨蠕虫的随机扫描行为，并通过信息收集点来收集网络中由路由器产生的这种不可达报文信息，然后统计消息的个数，并和给定的阈值进行比较，以此判断蠕虫是否有传播行为。

但是这种方法中如果路由器个数较少，那么收集到的报文信息数就会较少，会影响到判断的准确性（3）基于贝叶斯的检测技术在网络传播蠕虫的时候，蠕虫会先向网络中有漏洞的目标主机发送大量连接请求数据包，用这种方法就可以判断出目标主机是否开机，还能判断出这些目标主机是否存在漏洞，由此判断是否会被感染。

3.蠕虫病毒的防范3.1单位用户防范措施（1）提高网络管理员的安全意识和管理水平。

网络蠕虫基本知识所谓网络蠕虫是一种能够独立运行，并能通过寻找和攻击远方主机的漏洞进行自主传播的恶意代码。

他不同于病毒。

具有它们自己独特的传播方式和巨大的破坏力。

1 网络蠕虫的特性1）单一性：大量相同的数据包在蠕虫爆发初期出现，这是由于蠕虫发出的扫描包大多数是相同的，另外蠕虫在进行复制时传输的文件也是相同的；2）自主性：网络上感染规模不断增大这是由于蠕虫是自主传播，不受管理员的干涉，被感染主机数量以及扫描都呈指数级迅速增长。

这个可以有上边的模型看出；3）随机性：被感染主机会随机探测某个地址的固定端口，网络上会出现大量目标地址不可达或连接请求失败；4）利用软件漏洞，造成网络拥塞，系统消耗资源，留下安全隐患的特性。

2 蠕虫的运行技术介绍2.1 红色代码（CODE RED）2001年8月爆发的Code Red 利用IIS WEB 服务器 .IDA 缓冲区溢出漏洞传播。

这个蠕虫病毒使用服务器的端口80 进行传播，而这个端口正是Web 服务器与浏览器进行信息交流的渠道。

Code Red 主要有如下特征：入侵IIS 服务器，code red 会将WWW 英文站点改为："Hello! Welcome to ! Hacked by Chinese! "；与其它病毒不同的是，Code Red 并不将病毒信息写入被攻击服务器的硬盘。

它只是驻留在被攻击服务器的内存中，并借助这个服务器的网络连接攻击其它的服务器。

这也正是蠕虫与计算机病毒之间最大的区别。

红色代码根据上述漏洞将自己作为一个TCP/IP 流直接发送到染毒系统的缓冲区，蠕虫依次扫描WEB，以便能够感染其他的系统。

一旦感染了当前的系统，蠕虫会检测硬盘中是否存在c:\notworm，如果该文件存在，蠕虫将停止感染其他主机。

在被感染主机上蠕虫将进行如下操作感染其他主机：1）起初始蠕虫环境，进行自我复制。

并开始获得控制权。

2）建立起n 个蠕虫线程。

(n 一般取100)。

网络安全技术中的入侵检测与防范措施随着互联网技术的不断进步，网络已经深入到我们日常的生活中，我们可能在购物、银行转账、社交等方方面面都离不开互联网。

然而，互联网也带来了许多安全问题，其中包括入侵行为和网络攻击等。

本篇文章将重点讨论网络安全技术中的入侵检测和防范措施。

一、什么是入侵检测？入侵检测是一种安全技术，可通过监控网络通讯流量和系统行为来检测恶意行为。

它的主要目的是保护网络、系统和数据免受恶意攻击。

入侵检测有两种类型：基于主机的入侵检测和基于网络的入侵检测。

基于主机的入侵检测通常在单个计算机上运行，而基于网络的入侵检测通常监视整个网络，包括服务器、路由器和交换机。

入侵检测技术可以识别多种入侵形式，包括病毒、蠕虫、木马、DoS 攻击等等。

它通过比较当前的行为和预先定义的规则，来检查是否存在不寻常的活动。

如果检测到异常行为，系统就会发出报警，并采取相应的行动来防止攻击。

二、入侵检测技术的分类入侵检测技术可以分为两大类别：基于规则的和基于行为的。

基于规则的入侵检测是指在系统中定义一系列规则，来识别预定义的恶意行为。

这些规则通常基于先前的攻击模式和已知的恶意软件。

如果触发了一条规则，系统将会发出警告并采取相应的措施。

基于规则的入侵检测系统广泛用于网络安全领域，并且不需要使用特定的算法或模型进行分析，具有较高的准确性，并且容易维护。

基于行为的入侵检测则不需要预定义的规则，而是通过检查系统中正在运行的所有进程和行为来识别异常行为。

它利用数据挖掘技术和指标学习算法来自动学习系统行为，并检测异常情况。

这种技术可以防范未知的攻击，并且对新病毒和蠕虫可以有效防范。

三、入侵检测技术的应用网络入侵检测与防范技术的应用非常广泛，被广泛运用于各种行业和系统。

入侵检测技术广泛应用于以下几个方面：1. 保护网络安全：网络入侵检测技术可以帮助保护企业网络安全，防范未知的攻击和网络病毒。

2. 保护计算机系统安全：对于个人电脑和企业系统而言，入侵检测技术可以帮助防止恶意软件和木马。

网络安全中的恶意代码检测技术使用教程恶意代码是指那些用于非法获取信息、破坏系统安全或者对用户设备进行攻击的计算机程序或脚本。

由于恶意代码对个人隐私和数据安全构成严重威胁，因此，检测和防御恶意代码已经成为网络安全的重要任务之一。

本文将介绍一些常见的恶意代码检测技术和如何使用它们来保护您的设备和信息安全。

1. 定义恶意代码在了解恶意代码检测技术之前，首先需要了解什么是恶意代码。

恶意代码通常包括病毒、木马、蠕虫、间谍软件等。

它们可以通过电子邮件附件、下载的文件、恶意网站等方式传播。

2. 病毒扫描技术病毒扫描技术是一种常见且成熟的恶意代码检测技术。

它通过使用病毒特征库去匹配已知病毒的特征来检测电子邮件附件、文件和程序中的恶意代码。

这些特征库经常更新以包含最新的病毒信息。

要使用病毒扫描技术来保护您的设备，您可以安装一个可靠的杀毒软件，并将其保持更新。

定期进行全盘扫描以确保您系统中不存在未知的恶意软件。

此外，在下载文件和电子邮件附件时，应始终保持警惕，避免打开或执行来自未知来源的文件。

3. 行为分析技术行为分析技术是一种先进的恶意代码检测技术。

它不仅仅依赖于特征库匹配，更重要的是分析程序的行为以确定是否存在潜在的恶意活动。

要使用行为分析技术来保护您的设备，您可以选择一个具有强大的行为分析引擎的安全软件。

此类软件可以监视并分析软件的活动，例如文件访问、注册表修改、网络连接等。

当检测到异常或可疑行为时，它会发出警告并采取相应的防御措施。

4. 威胁情报技术威胁情报技术是一种依赖于全球安全网络来获取关于最新恶意代码和攻击活动情报的恶意代码检测技术。

它通过收集和分析来自安全团队、社区和其他组织的信息，以识别新的恶意代码和攻击趋势。

为了使用威胁情报技术来保护您的设备，您可以使用支持这种技术的安全软件。

这些软件可以实时更新最新的威胁情报，并自动采取相应的防护措施。

此外，了解当前的网络攻击趋势和常见的恶意软件类型也是非常重要的。

网络异常流量检测技术与方法随着互联网的迅猛发展，网络异常流量也逐渐成为了一个重要的研究领域。

网络异常流量指的是网络中与正常通信行为不符的数据流，可能是由于网络攻击、网络故障或其他非正常情况引起。

为保障网络的安全和有效性，发展网络异常流量检测技术及方法成为了一项紧迫的任务。

一、背景介绍网络异常流量是一种对网络通信效果造成负面影响的现象，可能导致网络服务的不稳定、用户体验的下降，甚至引发安全事故。

故而，及早发现并处理这些异常流量成为了互联网运营和网络服务提供商的重要职责之一。

二、常见网络异常流量类型及特征网络异常流量主要包括以下几种类型：1. DDoS 攻击分布式拒绝服务（DDoS）攻击是最常见的一种网络异常流量类型，攻击者通过利用大量机器同时向目标服务器发起请求，以压倒性的流量使服务器无法正常对外提供服务。

2. 网络蠕虫网络蠕虫是一种利用自我复制和传播机制的恶意软件，它可以在网络中迅速传播，并占用大量带宽资源。

这种异常流量通常具有特定的传播特征，如源地址持续变化、异常的连接频率等。

3. 僵尸网络僵尸网络是一种被黑客远程控制的大规模攻击工具，攻击者利用已感染的大量计算机节点发起攻击。

僵尸网络通常具有频繁且异常的连接活动、带宽利用率居高不下的特点。

4. 入侵行为网络入侵行为包括端口扫描、漏洞利用、恶意文件传输等，这类流量通常伪装成正常流量，具有特定的行为特征，如特定的访问路径、异常的请求参数等。

三、网络异常流量检测技术与方法为了准确、高效地检测网络异常流量，研究者们提出了许多技术与方法，下面介绍几种常见的检测技术：1. 基于统计的方法基于统计的异常流量检测方法通过对网络流量数据进行分析，构建统计模型来判断是否存在异常流量。

这些方法主要基于统计学的概率模型或机器学习算法，通过与正常流量进行比对来判断是否存在异常。

2. 基于行为分析的方法基于行为分析的异常流量检测方法通过对网络流量中的行为特征进行挖掘和建模，来判断是否存在异常流量。

网络安全中的恶意软件检测技术与解决方案恶意软件是指那些具有恶意目的并能够对计算机系统造成破坏、窃取信息或控制系统的软件。

它们可能以各种形式存在，比如病毒、蠕虫、木马、广告软件等。

恶意软件的增加和进化给用户的网络安全带来了巨大的威胁，因此实施恶意软件检测技术和采取相应的解决方案变得尤为重要。

恶意软件检测技术是指通过识别潜在的恶意软件来保护计算机系统和网络安全。

它主要分为静态检测和动态检测两种方式。

静态检测是指在不运行软件或代码的情况下对文件进行检测，通过分析文件的特征、行为和模式来判断是否存在恶意代码。

常用的静态检测技术包括特征匹配、行为分析和模式检测。

特征匹配是一种基于已知病毒特征库的检测方法，它通过比对文件的特征信息和已知的恶意软件的特征来进行检测。

特征可以是文件的哈希值、文件名、文件类型等。

但这种方法对于新出现的恶意软件无法进行有效的检测。

行为分析是通过分析软件在运行过程中的行为来判断是否存在恶意代码。

它可以监视软件访问文件、注册表、网络等行为，并根据事先设定的规则进行分析和判断。

这种方法可以有效地检测出变种和未知的恶意软件，但也容易产生误报。

模式检测是通过分析文件中的特定模式或规则来判断是否存在恶意代码。

这种方法主要基于正则表达式或模式匹配算法，通过匹配恶意软件的特定模式来进行检测。

但模式检测只能检测出已知的恶意软件，对于变种和未知的恶意软件无效。

动态检测是指在运行软件或代码的过程中进行检测，通过监控软件执行过程中产生的行为和特征来判断是否存在恶意代码。

常用的动态检测技术包括行为模式分析、异常检测和沙箱检测。

行为模式分析是通过分析软件在运行过程中的行为模式来判断是否存在恶意代码。

它可以监视软件的文件访问、网络连接、注册表操作等行为，并根据事先设定的规则进行分析。

这种方法可以检测出变种和未知的恶意软件，但也容易受到恶意软件自身的对抗。

异常检测是通过分析软件执行过程中的异常行为来判断是否存在恶意代码。