基于统计流形的多态蠕虫自动检测研究

A fast and accurate generation of worm signature is essential in efficiently detecting polymorphic worms. Aiming at the problems, such as the high storage and the high computation complexity produced by high-dimensional and multiple characteristics in invariant sets, we study the efficient indexing and matching of massive invariants. The compact description of invariant sets is the key of efficient matching. This project provides the first work to use the statistical manifold in information geometry. Firstly, we establish a statistical model of invariant sets. Furthermore, we use the Fisher information distance to match the probability density information, and achieve the low-dimensional manifold embedded of statistical distribution information. Finally, we generate compact description vectors of invariant sets. On this foundation, we establish an indexing structure and computational model from the whole set to the local element, and obtain an efficient signature matching of polymorphic worms. Statistical manifold methods can achieve an efficient expression of high-dimensional statistical information distribution; however, multi-stage vector quantization algorithms can improve the matching efficiency and accuracy of signatures. The combination of the two methods can not only reduce the worm signatures' storage and computational complexity and improve matching efficiency, but also meet the different requirements of the retrieval precision and retrieval speed of the actual network environment applications.

快速而准确的提取蠕虫特征对于检测多态蠕虫至关重要。本课题针对多态蠕虫不变量特征集合中高维、多量特性带来的存储、计算复杂度过高的问题，研究海量不变量特征的高效索引与匹配。不变量特征集合的紧致表示是高效匹配的关键。本课题首次提出运用信息几何学中的统计流形方法，对不变量特征集合建立统计模型，采用费舍尔信息距离匹配概率密度信息，实现统计分布信息的低维流形嵌入，生成不变量特征集合的紧致描述向量。在此基础上，建立从集合整体到局部元素的索引结构和计算模型，实现多态蠕虫特征的高效匹配。统计流形方法能够实现高维统计分布信息的高效表达，而多级矢量量化技术可提高特征的匹配效率和准确度。本课题将二者有机结合，其特色是能够降低蠕虫特征的存储和计算复杂度、提高匹配效率，并且能够满足实际网络环境应用中对检索精度和检索速度的不同需求。

快速而准确的提取蠕虫特征对于检测多态蠕虫至关重要。借助变形技术，多态蠕虫特征呈现可组合特性，用传统单一特征技术难以刻画，传统防御方法面临巨大挑战。针对多态蠕虫不变量特征集合中高维、多量特性带来的存储、计算复杂度过高的问题，本课题研究多态蠕虫自动检测方法。主要研究内容包括：利用传染病模型的建模思想，建立多态蠕虫的传播模型并分析其全局稳定性，找出了其传播过程中的关键因素，得出了多态蠕虫消亡的阈值；利用信息熵理论研究多态蠕虫传播行为，结合突发流量来综合判断多态蠕虫的存在性；若为多态蠕虫，则将其导入到可疑流量池中，提取其类型、时间戳、源IP、源端口、目的IP、目的端口、数据包大小、数据包正文等信息，组成一个向量，用支持向量机加以区分；运用信息集合学中的统计流形方法，对多态蠕虫的不变量特征集合建立统计模型，采用费舍尔信息距离匹配概率密度信息，实现了统计分布信息的低维流形嵌入，生成不变量特征集合的紧致描述向量；利用多重映射和量化编码技术降低数据维数和数据尺寸，实现了多态蠕虫特征的高效匹配，提高了特征的匹配效率和准确度；在此基础上，我们进一步对多类多态蠕虫特征进行分析，利用树结构研究不同源多态蠕虫的分类问题，得到多态蠕虫间的亲疏关系。本项目的研究成果将在实际应用中对网络关键设施起到有效的预警和保护作用。