基于基于 SSFNetSSFNet 的网络蠕虫实验的网络蠕虫实验床床荆涛 荆涛 周庆国 武文忠周庆国 武文忠

jingtaojackie@yahoo.com.cnjingtaojackie@yahoo.com.cn兰州大学网络中心高性能实验室兰州大学网络中心高性能实验室

2004-12-262004-12-26

OUTLINEOUTLINE

• 研究背景研究背景• 网络蠕虫仿真网络蠕虫仿真• SSFNETSSFNET 简介简介• 网络蠕虫仿真实验床实现网络蠕虫仿真实验床实现• 结论结论

研究背景研究背景• 蠕虫危害蠕虫危害• 蠕虫研究现状蠕虫研究现状

蠕虫危害蠕虫危害

蠕虫的研究现状蠕虫的研究现状• 蠕虫传播策略的研究蠕虫传播策略的研究 [2][2]

理论蠕虫理论蠕虫 [1][1] ：： Warhol wormWarhol worm ，， FFlash wormlash worm • 蠕虫传播的复杂网络结构的研究蠕虫传播的复杂网络结构的研究• 蠕虫的防范研究蠕虫的防范研究

网络仿真技术研究网络仿真技术研究• 网络仿真是对网络行为的抽象网络仿真是对网络行为的抽象• 考虑网络行为的网络本身性质考虑网络行为的网络本身性质• 安全安全 ,, 高效高效 ,, 低成本低成本

网络蠕虫仿真网络蠕虫仿真• 概念：通过现有的计算机、操作系统、软件环境，概念：通过现有的计算机、操作系统、软件环境，利用相应的数学抽象模型，建立仿真环境，模拟利用相应的数学抽象模型，建立仿真环境，模拟网络蠕虫传播，进而对网络蠕虫进行研究。网络蠕虫传播，进而对网络蠕虫进行研究。• 研究手段：从蠕虫的传播机理入手，分析蠕虫传研究手段：从蠕虫的传播机理入手，分析蠕虫传播策略特点，进而分析研究蠕虫的对抗，防范技播策略特点，进而分析研究蠕虫的对抗，防范技术；从改善网络结构本身入手，分析网络结构对术；从改善网络结构本身入手，分析网络结构对蠕虫传播的影响，不同类型网络中蠕虫传播的特蠕虫传播的影响，不同类型网络中蠕虫传播的特点，找到蠕虫传播的网络相关性。点，找到蠕虫传播的网络相关性。

蠕虫的传播模型蠕虫的传播模型1 . 1 . 简单传染病模型：简单传染病模型： dI(t)/dt = βI(t)[N-I(t)] dI(t)/dt = βI(t)[N-I(t)] 2. Kermack - Mckendrick 2. Kermack - Mckendrick 模型：模型： [3][3]

dS(t)/dt = -βs(t)I(t) (3)dS(t)/dt = -βs(t)I(t) (3) dI(t)/dt = βS(t)I(t) –γI(t) (4)dI(t)/dt = βS(t)I(t) –γI(t) (4) dR(t)/dt = γI(t) (5)dR(t)/dt = γI(t) (5) t t 时刻蠕虫传播过程中，易感主机数目，感染主机数目，移除主机数目随时间时刻蠕虫传播过程中，易感主机数目，感染主机数目，移除主机数目随时间

tt 的变化模型。 的变化模型。 β β ，， γγ 分别为感染参数和移除参数分别为感染参数和移除参数3. AAWP3. AAWP （（ Analytical Active Worm PropagationAnalytical Active Worm Propagation ）） 传播模型： 传播模型：NNi+1 i+1 = (1-d-p)n= (1-d-p)nii + [(1-p) + [(1-p)iiN - nN - nii][1-(1 – 1/2][1-(1 – 1/23232))sn4sn4]]

KMKM 模型模型

AAWPAAWP 模型模型

SSFNetSSFNet 网络仿真软件网络仿真软件• SSFNetSSFNet[4][4] 是一个是一个 InternetInternet 网络协议的仿真和建模软件 网络协议的仿真和建模软件 • 可扩展仿真建模的并行运算环境 可扩展仿真建模的并行运算环境 • 在在 SSFSSF 上实现的面向对象的语言上实现的面向对象的语言－－ DMLDML （（ Domain Modeling Language Domain Modeling Language ））• 分为分为 SSF.OSSSF.OS （主机，操作系统相关的建模，尤其是协议）和（主机，操作系统相关的建模，尤其是协议）和 SSF.NETSSF.NET（建立网络连接，实现节点和链路的配置）（建立网络连接，实现节点和链路的配置）• SSFNetSSFNet 提供的协议支持包括：提供的协议支持包括： IP,TCP,UDP,SOCKET,OSPF,BGP4,HTTPIP,TCP,UDP,SOCKET,OSPF,BGP4,HTTP等等 等等 • 支持支持 windows,linux,Unixwindows,linux,Unix 系列操作系统，系列操作系统， javajava 环境支持环境支持• 可以进行网络协议，系统仿真，蠕虫传播等网络研究的仿真模拟可以进行网络协议，系统仿真，蠕虫传播等网络研究的仿真模拟• 与传统的仿真软件相比，它占用资源小得多，对操作系统有广泛的支持，与传统的仿真软件相比，它占用资源小得多，对操作系统有广泛的支持，运算效率高。运算效率高。

SSFNetSSFNet 蠕虫仿真包蠕虫仿真包• SSF.App.WormSSF.App.Worm ，， Michael LiljenstamMichael Liljenstam 博士博士

[5][5] 编写编写 ， ，用户可以自行修改相关代码，设计用户可以自行修改相关代码，设计蠕虫传播模型。蠕虫传播模型。• 能够模拟蠕虫传播的能够模拟蠕虫传播的 SI,SIS,SIRSI,SIS,SIR 传染病模型传染病模型• WormprotocolsessionWormprotocolsession• MacroscopicModelMacroscopicModel 定义宏观传播状态定义宏观传播状态

SSFNetSSFNet 层次结构模型 层次结构模型

实验床的实现实验床的实现 ::

• DMLDML 语言定义网络的微观传播状态 语言定义网络的微观传播状态 • 定义蠕虫包中的相应传播类库文件 ：定义蠕虫包中的相应传播类库文件 ： **

WormEpidemic.java WormEpidemic.java ，， *Intializer.java *Intializer.java ，，MeanRate*.java MeanRate*.java

• *IPSpaceDistr*IPSpaceDistr 定义定义 IPIP 地址分布地址分布

类类 FlashFlash 蠕虫仿真实现 蠕虫仿真实现 • 具有具有 FlashFlash 蠕虫的传播特性：攻击表自动分成蠕虫的传播特性：攻击表自动分成 nn 块 ；对应块 ；对应攻击表的攻击表的 1/n1/n 复制给对应块的感染结点 复制给对应块的感染结点 • 我们取我们取 nn 为为 1010 ，网络带宽，网络带宽 10Mbit/sec10Mbit/sec • 网络结构的数据来自网络结构的数据来自 OregonOregon 大学的“大学的“ Route Views”Route Views” 项项目计划目计划 [6][6] ，，反应的是真实网络中各个反应的是真实网络中各个 ASAS 的拓扑分布情况。的拓扑分布情况。• 使用使用 SI SI 模型模型• 定义相关的类库文件，定义相关的类库文件， FlashMeanRateWormTrafficFlashMeanRateWormTraffic.java.java ，，

FlashWormEpidemicInitializer.javaFlashWormEpidemicInitializer.java

仿真传播结果：

实验结论实验结论• 传播主机数目传播主机数目 300,000300,000 台，实验带宽采用台，实验带宽采用 11

0M0M ，， FlashFlash 蠕虫的理论传播带宽为蠕虫的理论传播带宽为 622MB622MB/s,/s, 当当 FlashFlash 蠕虫在此带宽传播时相当于理蠕虫在此带宽传播时相当于理论攻击时间为论攻击时间为 3030 分钟左右，与最后得出的分钟左右，与最后得出的结果结果 4343 分钟是同一量级 分钟是同一量级

• 实验床可以满足网络蠕虫研究的基本要求实验床可以满足网络蠕虫研究的基本要求

未来的研究未来的研究• 不同网络拓扑结构下的动力学机制 不同网络拓扑结构下的动力学机制 • 蠕虫传播的相关特点 蠕虫传播的相关特点 • 仿真环境下，网络拓扑结构的描述及生成仿真环境下，网络拓扑结构的描述及生成

参考文献• [1] S.Staniford, V. Paxson, and N. Weaver, How to own the Internet in Your Spare

Time,Proc. 11th Usenix Security Symp . (Security’02), Usenix Assoc.,2002;www.icir.org/vern/papers/cdc-usenix-sec02/

• [2] 文伟平，卿斯汉，蒋建春等，网络蠕虫研究与进展 [J] ，软件学报， 2004 ，Vol.15,No.8,1208-1219 页

• [3] M.Liljenstam, Y.Yuan, BJ Premore , etc, A Mixed Abstraction Level Simulation Model of Large-Scale Internet Worm Infestations, in Proceedings of the Tenth IEEE/ACM Symposium on Modeling

• [4] SSF-Scalable Simulation Framework. URL: http://www.ssfnet.org/homePage.html ,2004

• [5] SSF.App.Worm.URL: http://www.crhc.uiuc.edu/~mili/research/ssf/worm/index.html ,2004

• [6] Route Views ， http://www.routeviews.org/

寻求发展机会• 兰州大学计算机应用专业硕士研究生• 研究方向：蠕虫研究，网络仿真，网络安全• 希望能在北京的科研院所，相关单位工作希望能在北京的科研院所，相关单位工作

谢 谢！