基于暗网的早期检测技术在专用网络中的应用

摘要：为了早期检测网络蠕虫，设计实现了一个基于暗网的可视化蠕虫早期检测系统，并在某专用网络中进行了对比实验。结果显示，该系统在专用网络中比传统入侵检测系统能更早发现蠕虫等网络攻击，且时间提前量十分可观，说明基于暗网的早期检测技术在专用网络中有良好的应用前景。
关键词：暗网；蠕虫；早期检测；专用网络；可视化

暗网检测技术通过分析流向网络中未用IP地址段的数据来检测蠕虫、黑客扫描、DoS攻击等网络攻击行为，具有很高的准确性。银行、铁路、军队等同国际互联网隔离的专用网络中存在大量未用IP地址段，应用暗网检测技术具有先天优势。本文实现了一个基于暗网的可视化蠕虫检测系统，并应用于专用网络。

1 暗网的概念和相关研究
网络中的未用IP地址段被称作暗网(darknet)、黑洞网络(black hole)等，其中不应该有合法流量，而蠕虫、黑客、DoS攻击和错误配置等会产生流向暗网的流量，因此从中可以发现攻击。在暗网研究方面，主要有Network Telescope项目组和Internet．Motion Sensor项目组等。文献介绍了不同的暗网检测系统并进行分析，但这些研究都是在因特网中进行的且大部分采用仿真方法。

2 可视化检测系统
2．1 主要思想
系统采用了一种可视化检测方法。首先提取IP数据包中的三个首部字段：源IP地址(用Is表示)，目的IP地址(用Id来表示)，目的端口号(用Pd来表示)。建立分别以这三个值为特征维度的三维直角坐标系，然后将每一个IP数据包按照三个首部字段在该三维坐标系中描绘一个点，如图1所示。从图中可以发现一些明显、有规律的图形。这些特征图形表示端口扫描(portscan)、主机扫描(hostscan)和拒绝服务(DoS)等各种攻击。根据这个特点将网络攻击从全部数据流中区分出来，进而在三维坐标系中将其表现出来，达到直观的可视化效果。