杨庆涛

重庆医科大学现代教育技术中心 重庆 400016

0 引言

本文分析了现有的针对网络蠕虫特征的检测方法，涉及到对已知和未知蠕虫的检测。在蠕虫的特征提取技术方面，分析了现有的特征提取方法，同时引入了生物信息学中采用的序列连配算法来进行特征的提取工作，对算法的性能进行分析比较，提出了对算法的改进方法，在对网络蠕虫的检测技术和特征提取的理论分析的基础上，提出了基于上述思想的网络蠕虫检测模型，该模型给出了蠕虫检测的具体实现方法。

1 传统的蠕虫特征检测方法

在对蠕虫病毒进行检测和防御的过程中，都需要对其特点进行研究和发现，而特征码无疑最能反映蠕虫和其他计算机病毒的特点。所谓的特征码可用来对蠕虫和其它的变体进行身份识别，能够反映其攻击特征，在计算机中的组织表现就是一组或者多组的二进制的连续的序列。

所谓的特征提取算法，它的方法就是首先收集可疑的数据包，然后对这些可疑的数据包加以分析比较，从而能够提取出具有一定代表性，能够反映蠕虫传播特点，攻击特点的特征，并最终为蠕虫的检测技术所使用。目前常用特征提取技术包括最大公共子串(Longest Common Subsequence,LCS)提取、基于 Rabin fingerprints算法的对数据流的内容进行有效的划分，采用Expectation Maxmization等。其中最有代表性的是最长公共子序列LCS。采用该方法的时候时间复杂度较高，同时若支持进行聚类分析，则平摊复杂度将更高；若不支持聚类的分析，其混合通信(包括非蠕虫通信、若干蠕虫种类、若干蠕虫变体)将严重影响到特征的提取过程；……