1、基于SSFNet的網(wǎng)絡蠕蟲實驗床,荊濤 周慶國 武文忠jingtaojackie@yahoo.com.cn蘭州大學網(wǎng)絡中心高性能實驗室2004-12-26,OUTLINE,研究背景網(wǎng)絡蠕蟲仿真SSFNET簡介網(wǎng)絡蠕蟲仿真實驗床實現(xiàn)結論,研究背景,蠕蟲危害蠕蟲研究現(xiàn)狀,蠕蟲危害,蠕蟲的研究現(xiàn)狀,蠕蟲傳播策略的研究[2]理論蠕蟲[1]：Warhol worm ，F(xiàn)lash worm 蠕蟲傳播的復雜網(wǎng)絡結構的研究蠕蟲的防

2、范研究,網(wǎng)絡仿真技術研究,網(wǎng)絡仿真是對網(wǎng)絡行為的抽象考慮網(wǎng)絡行為的網(wǎng)絡本身性質安全,高效,低成本,網(wǎng)絡蠕蟲仿真,概念：通過現(xiàn)有的計算機、操作系統(tǒng)、軟件環(huán)境，利用相應的數(shù)學抽象模型，建立仿真環(huán)境，模擬網(wǎng)絡蠕蟲傳播，進而對網(wǎng)絡蠕蟲進行研究。研究手段：從蠕蟲的傳播機理入手，分析蠕蟲傳播策略特點，進而分析研究蠕蟲的對抗，防范技術；從改善網(wǎng)絡結構本身入手，分析網(wǎng)絡結構對蠕蟲傳播的影響，不同類型網(wǎng)絡中蠕蟲傳播的特點，找到蠕蟲傳播的網(wǎng)絡相關性。

3、,蠕蟲的傳播模型,1 . 簡單傳染病模型：dI(t)/dt = βI(t)[N-I(t)] 2. Kermack - Mckendrick 模型：[3] dS(t)/dt = -βs(t)I(t) (3) dI(t)/dt = βS(t)I(t) –γI(t) (4) dR(t)/dt = γI(t) (5) t 時刻蠕蟲

4、傳播過程中，易感主機數(shù)目，感染主機數(shù)目，移除主機數(shù)目隨時間t的變化模型。 β ，γ分別為感染參數(shù)和移除參數(shù)3. AAWP（Analytical Active Worm Propagation） 傳播模型：Ni+1 = (1-d-p)ni + [(1-p)iN - ni][1-(1 – 1/232)sn4],,,KM模型,AAWP模型,SSFNet網(wǎng)絡仿真軟件,SSFNet[4]是一個Internet網(wǎng)絡協(xié)議的仿真和建模軟件 可擴展

5、仿真建模的并行運算環(huán)境 在SSF上實現(xiàn)的面向對象的語言－DML（Domain Modeling Language ）分為SSF.OS（主機，操作系統(tǒng)相關的建模，尤其是協(xié)議）和SSF.NET（建立網(wǎng)絡連接，實現(xiàn)節(jié)點和鏈路的配置）SSFNet提供的協(xié)議支持包括：IP,TCP,UDP,SOCKET,OSPF,BGP4,HTTP等等 支持windows,linux,Unix系列操作系統(tǒng)，java環(huán)境支持 可以進行網(wǎng)絡協(xié)議，系統(tǒng)仿真，蠕

6、蟲傳播等網(wǎng)絡研究的仿真模擬與傳統(tǒng)的仿真軟件相比，它占用資源小得多，對操作系統(tǒng)有廣泛的支持，運算效率高。,SSFNet蠕蟲仿真包,SSF.App.Worm ，Michael Liljenstam博士[5]編寫 ，用戶可以自行修改相關代碼，設計蠕蟲傳播模型。能夠模擬蠕蟲傳播的SI,SIS,SIR傳染病模型WormprotocolsessionMacroscopicModel定義宏觀傳播狀態(tài),SSFNet層次結構模型,實驗床的實現(xiàn):,

7、DML語言定義網(wǎng)絡的微觀傳播狀態(tài) 定義蠕蟲包中的相應傳播類庫文件 ：*WormEpidemic.java ，*Intializer.java ，MeanRate*.java *IPSpaceDistr定義IP地址分布,類Flash蠕蟲仿真實現(xiàn),具有Flash蠕蟲的傳播特性：攻擊表自動分成n塊 ；對應攻擊表的1/n復制給對應塊的感染結點 我們取n為10，網(wǎng)絡帶寬10Mbit/sec 網(wǎng)絡結構的數(shù)據(jù)來自Oregon大學的“Route

8、 Views”項目計劃[6]，反應的是真實網(wǎng)絡中各個AS的拓撲分布情況。使用SI 模型定義相關的類庫文件，F(xiàn)lashMeanRateWormTraffic.java，F(xiàn)lashWormEpidemicInitializer.java,仿真?zhèn)鞑ソY果：,實驗結論,傳播主機數(shù)目300,000臺，實驗帶寬采用10M，F(xiàn)lash蠕蟲的理論傳播帶寬為622MB/s,當Flash蠕蟲在此帶寬傳播時相當于理論攻擊時間為30分鐘左右，與最后得出的結果

9、43分鐘是同一量級 實驗床可以滿足網(wǎng)絡蠕蟲研究的基本要求,未來的研究,不同網(wǎng)絡拓撲結構下的動力學機制 蠕蟲傳播的相關特點 仿真環(huán)境下，網(wǎng)絡拓撲結構的描述及生成,參考文獻,[1] S.Staniford, V. Paxson, and N. Weaver, How to own the Internet in Your Spare Time,Proc. 11th Usenix Security Symp . (Security’02

10、), Usenix Assoc.,2002;www.icir.org/vern/papers/cdc-usenix-sec02/[2]文偉平，卿斯?jié)h，蔣建春等，網(wǎng)絡蠕蟲研究與進展[J]，軟件學報，2004，Vol.15,No.8,1208-1219頁 [3] M.Liljenstam, Y.Yuan, BJ Premore , etc, A Mixed Abstraction Level Simulation Model of La

11、rge-Scale Internet Worm Infestations, in Proceedings of the Tenth IEEE/ACM Symposium on Modeling[4] SSF-Scalable Simulation Framework. URL: http://www.ssfnet.org/homePage.html ,2004 [5] SSF.App.Worm.URL: http://www.crh