基于暗網的早期檢測技術在專用網絡中的應用

摘要：為了早期檢測網絡蠕蟲，設計實現了一個基于暗網的可視化蠕蟲早期檢測系統，并在某專用網絡中進行了對比實驗。結果顯示，該系統在專用網絡中比傳統入侵檢測系統能更早發(fā)現蠕蟲等網絡攻擊，且時間提前量十分可觀，說明基于暗網的早期檢測技術在專用網絡中有良好的應用前景。
關鍵詞：暗網；蠕蟲；早期檢測；專用網絡；可視化

暗網檢測技術通過分析流向網絡中未用IP地址段的數據來檢測蠕蟲、黑客掃描、DoS攻擊等網絡攻擊行為，具有很高的準確性。銀行、鐵路、軍隊等同國際互聯網隔離的專用網絡中存在大量未用IP地址段，應用暗網檢測技術具有先天優(yōu)勢。本文實現了一個基于暗網的可視化蠕蟲檢測系統，并應用于專用網絡。

1 暗網的概念和相關研究
網絡中的未用IP地址段被稱作暗網(darknet)、黑洞網絡(black hole)等，其中不應該有合法流量，而蠕蟲、黑客、DoS攻擊和錯誤配置等會產生流向暗網的流量，因此從中可以發(fā)現攻擊。在暗網研究方面，主要有Network Telescope項目組和Internet．Motion Sensor項目組等。文獻介紹了不同的暗網檢測系統并進行分析，但這些研究都是在因特網中進行的且大部分采用仿真方法。

2 可視化檢測系統
2．1 主要思想
系統采用了一種可視化檢測方法。首先提取IP數據包中的三個首部字段：源IP地址(用Is表示)，目的IP地址(用Id來表示)，目的端口號(用Pd來表示)。建立分別以這三個值為特征維度的三維直角坐標系，然后將每一個IP數據包按照三個首部字段在該三維坐標系中描繪一個點，如圖1所示。從圖中可以發(fā)現一些明顯、有規(guī)律的圖形。這些特征圖形表示端口掃描(portscan)、主機掃描(hostscan)和拒絕服務(DoS)等各種攻擊。根據這個特點將網絡攻擊從全部數據流中區(qū)分出來，進而在三維坐標系中將其表現出來，達到直觀的可視化效果。