試論數(shù)據(jù)挖掘在計算機網(wǎng)絡(luò)病毒防御中的應(yīng)用

1、【論文關(guān)鍵詞】數(shù)據(jù)挖掘；網(wǎng)絡(luò)病毒；防御【論文摘要】隨著Inter的普及，尤其是寬帶網(wǎng)的盛行，計算機病毒也在向網(wǎng)絡(luò)化方向發(fā)展，這種病毒就是所謂的蠕蟲病毒。本文利用數(shù)據(jù)挖掘技術(shù)，研究了如何在新的蠕蟲病毒大規(guī)模爆發(fā)之前就將其檢測到，并采取相應(yīng)的措施。一、網(wǎng)絡(luò)病毒的特征分析網(wǎng)絡(luò)病毒（蠕蟲病毒）自身就是一個可執(zhí)行的二進制代碼程序文件。它的傳播途徑、方式與傳統(tǒng)的病毒不同，它具有主動性傳播的特點。它主動掃描網(wǎng)絡(luò)上主機操作系統(tǒng)和一些網(wǎng)絡(luò)服務(wù)的漏洞（大多

2、是利用操作系統(tǒng)的緩沖區(qū)溢出漏洞），利用這些漏洞侵入這些主機，將自身的副本植入其中，從而完成傳播過程。被感染后的主機又會用同樣的手法感染網(wǎng)絡(luò)上其它的主機，如此反復(fù)下去，這樣很快就會傳遍整個網(wǎng)絡(luò)，尤其是一個新的操作系統(tǒng)漏洞還沒引起計算機用戶足夠重視的時候。蠕蟲病毒感染主機后往往大量占用主機資源（如CPU資源、內(nèi)存資源等），使機器運行速度越來越慢，或向網(wǎng)絡(luò)上發(fā)送巨量的垃圾IP數(shù)據(jù)包，嚴重阻塞網(wǎng)絡(luò)帶寬，甚至造成整個網(wǎng)絡(luò)癱瘓。更惡毒的還會盜取用戶

3、的敏感資料，如帳號和密碼等。而且現(xiàn)在的蠕蟲病毒有從以破壞為主要目的向以盜取資料為主要目的轉(zhuǎn)換的趨勢，因此危害更大。通過分析蠕蟲病毒的傳播過程可知，蠕蟲病毒要感染網(wǎng)絡(luò)上的其它主機，首先必須對網(wǎng)絡(luò)上的主機進行掃描。它的這一舉動就暴露了目標，就為檢測蠕蟲病毒提供了途徑，也使蠕蟲病毒預(yù)防系統(tǒng)的實現(xiàn)成為可能。通過抓包分析，發(fā)現(xiàn)蠕蟲病毒的掃描過程并不像黑客入侵前的掃描那樣詳細，它只是隨機地生成目標主機的IP地址（通常優(yōu)先生成本網(wǎng)段或相鄰網(wǎng)段的IP地

4、址），然后用攻擊模塊（通常是用緩沖區(qū)溢出程序）直接攻擊目標IP地址的主機，而不管該主機是否存在。這個攻擊過程首先要向目標主機的特定端口發(fā)起TCP連接請求。例如，沖擊波蠕蟲病毒會在幾秒內(nèi)兩次向目標主機的135端口發(fā)起連接請求，而震蕩波會在幾秒內(nèi)兩次向目標主機的445端口發(fā)起連接請求。因此，通過捕獲數(shù)據(jù)包，利用數(shù)據(jù)挖掘技術(shù)分析它們的特征，找出異常的數(shù)據(jù)，從而達到預(yù)防的目的。二、基于數(shù)據(jù)挖掘的病毒預(yù)防系統(tǒng)基于數(shù)據(jù)挖掘的蠕蟲病毒預(yù)防系統(tǒng)主要由數(shù)

5、據(jù)源模塊、預(yù)處理模塊、數(shù)據(jù)挖掘模塊、規(guī)則庫模塊、決策模塊、預(yù)防模塊等組成。（一）工作原理1數(shù)據(jù)源是由一個抓包程序?qū)⑺衼碜杂诰W(wǎng)絡(luò)的、發(fā)向本機的數(shù)據(jù)包截獲下來，交給預(yù)處理模塊處理。2數(shù)據(jù)預(yù)處理模塊將截獲的數(shù)據(jù)包進行分析，處理成連接請求記錄的格式。因為蠕蟲病毒傳染網(wǎng)絡(luò)上的主機時，會主動地向主機發(fā)起連接，這也是預(yù)防系統(tǒng)建立的理論依據(jù)。連接記錄由時間、源IP地址、源端口、目的IP地址、目的端口組成。這些眾多的連接請求記錄組成了事件的集合。3規(guī)則

6、庫用于存儲已知的蠕蟲病毒的連接特征和新近數(shù)據(jù)挖掘形成的規(guī)則集。規(guī)則集是蠕蟲病毒行為模式的反映，用于指導(dǎo)訓(xùn)練數(shù)據(jù)的收集和作為特征選擇的依據(jù)。4數(shù)據(jù)挖掘模塊利用數(shù)據(jù)挖掘算法分析由連接請求記錄組成的事件庫，分析結(jié)果交給決策模塊處理。文后寄語：book118是一個專注于電子文檔的在線分享平臺，用戶在此平臺上不但可以自由交換文檔，還可以分享最新的行業(yè)資訊。book118制定了嚴格的文檔審核策略，以保證文檔來源的合法性，對有可能引起知識產(chǎn)權(quán)糾紛的文

7、檔，網(wǎng)站不予收錄。同時，道客巴巴采用了行業(yè)領(lǐng)先的文檔加密及保護技術(shù)，最大程度上保證用戶上傳的文檔的版權(quán)不被非法侵犯。注冊1、會員信息是您在book118網(wǎng)站的身份標識，注冊后，您可以瀏覽文檔、在線閱讀或下載，建立并管理自己的文檔信息庫2、打開網(wǎng)站的首頁，點擊頁面上方的信息條文字“【免費注冊】“，在用戶注冊頁面，輸入用戶名、密碼、電子郵件、驗證碼，閱讀“服務(wù)協(xié)議“，并選中“同意“復(fù)選框，最后點擊“注冊“按鈕3、也可以在“登錄“頁面，點擊“