（通信与信息系统专业论文）p2p网络中病毒文件的发现与传播抑制研究.pdf

摘要 p 2 p 网络中病毒文件的发现与传播抑制研究 专业：通信与信息系统 硕士生：梁锡坤 指导教师：张晓瑜讲师 摘要 由于对等网络( p 2 p ) 使人们的网络信息交流提升到一个更高的平台与环境， 使人们更加随心所欲地参与到网络当中去，因此，这种新颖的工作模式得到许许 多多用户的认可与支持，并且随着i n t e r n e t 的不断膨胀、不断发展，p 2 p 网络 将得到更大的发展空间。据0 7 年德国一家公司的统计数据显示，p 2 p 应用最高 时已经占到i n t e r n e t 流量的9 0 9 6 ，p 2 p 已经彻底统治了当今的i n t e r n e t 。然而， p 2 p 病毒防御技术的研究却相对滞后，如果p 2 p 网络病毒大规模爆发，其影响和 破坏将是巨大的。 本文通过应用p 2 p 网络仿真工具p e e r s i m 对病毒文件传播进行大量的分析研 究。并在此基础上提出一个基于节点免疫力的共享时间异常的病毒文件发现模 型，以达到及时发现病毒文件的存在，确保网络资源安全的目的。本文主要研究 工作集中在以下几下方面： 1 、分析当前p 2 p 网络的安全现状，并对目前国内、外的研究现状进行分析 总结。 2 、针对病毒文件的传播，充分考虑网络的诸多因素，如：用户到达率，在 线( 共享) 时间，网络节点免疫力等对病毒文件传播的影响，并通过p 2 p 网络仿 真工具一p e e r s i m 进行仿真分析。 3 、提出一个基于节点免疫力的共享时间异常的病毒文件发现模型，并对该 模型进行详尽的仿真设计与效果分析。 关健词：p 2 p 网络，p e e r s i m ，r 2 异常检测法，病毒文件发现模型 a b s t r a c t t h er e s e a r c ho fd e t e c ti o na n dp r o p a g a t ei n h i b iti o n o fv i r u sf i1 e si np 2 pn e t w o r k m a j o r ： c o m m u n i c a ti o na n di n f o r m a t i o ns y s t e m n a m e ： l i a n gx i k u n s u p e r v i s o r ： l e c t u r e rz h a n gx i a o y u a b s t r a c t p e e r t o p e e r( p 2 p )n e t w o r k s e n a b l ep e o p l et oe x c h a n g ei n f o r m a t i o n i nah i g h e rp l a t f o r ma n dm a k et h e mp a r t i c i p a t ei nt h en e t w o r k sm o r e a r b it r a r i1 y t h e r e f o r e ， t h isn e wn e t w o r km o d eh a sb e e nr e c o g n iz e da n d s u p p o r t e db ym o r ea n dm o r eu s e r s w eb e lie v et h a ta st h ed e v e l o p m e n to f i n t e r n e t ， p 2 pn e t w o r k sw i1 1h a v eab r ig h t e rf u t u r e a c c o r d i n gt oag e r m a n yc o m p a n y ss t a t i s t i c ss h o w si n2 0 0 7 ， p 2 p a p p li c a t i o n sh a v ea c c o u n t e df o r9 0 o ft h ei n t e r n e tt r a f f i ci nt h ep e a k t i m e p 2 ph a sb e e nc o m p l e t e l yd o m i n a t e dt o d a y si n t e r n e t h o w e v e r ， t h e r e s e a r c ho ft h es e c u r i t yo np 2 pn e t w o r ki s1 a g g i n gb e h i n d i ft h ep 2 pv i r u s o u t b r e a k si na1 a r g e s c a l e ，i t si m p a c ta n dd a m a g ew i l lb eu n i m a g i n a b l e t h i s p a p e ru s e s p 2 p n e t w o r ks i m u l a t o r p e e r s i mt o a n a l y z ea n d r e s e a r c ho nh o wt h ev i r u sf i1 e ss p r e a di nt h ep 2 pn e t w o r ks y s t e m a t i c a l 1 y t h e nw ep r o p o s eav i r u sf i l e sd e t e c t i o nm o d e lw h i c hi sb a s e do nt h e e x c e p t i o no fu s e r ss h a r i n gt i 而e ，s oa st oe n s u r et h es a f e t yo ft h en e t w o r k r e s o u r c e so p p o r t u n e l y t h em a i nc o n t e n t so ft h i sp a p e ra r eg i v e na s f 0 1 l o w s ： f i r s t ， a n a l y z et h ec u r r e n tp 2 pn e t w o r ks e c u r i t ys t a t u s s e c o n d ，f o rt h ep u r p o s eo fr e s e a r c ho nh o wt h ev i r u sf i l e ss p r e a di n p 2 pn e t w o r k ，w et a k eag o o dc o n s i d e r a t i o no fan u m b e r o ff a c t o r s ， s u c h n 中山大学硕士学位论文 a su s e ra r r i v a lr a t e ，o n 一1 i n e ( s h a r i n g ) t i m e ，n e t w o r ki 舯u n i t y t h e n ，w e u s ep 2 pn e t w o r ks i m u l a t o r p e e r s i mt oa n a l y z eh o wa 1 1t h e s ef a c t o r si m p a c t t h es p r e a do fv i r u sf il e s f i n a l l y ，p r o p o s eav i r u sf i l e sd e t e c t i o nm o d e lw h i c hi sb a s e do nt h e e x c e p t i o no fu s e r ss h a r i n gt i m e ，a n dd os i m u l a t i o nt ov e r i f yt h i sm o d e l k e yw o r d s ： p 2 pn e t w o r k ， p e e r s i m ，r 2a n o m a l yd e t e c t i o n ， v i r u sf i l e d e t e c ti o nm o d e l i 学位论文原创性声明 本人郑重声明：所呈交的学位论文，是本人在导师的指导下，独 立进行研究工作所取得的成果。除文中已经注明引用的内容外，本论 文不包含任何其他个人或集体已经发表或撰写过的作品成果。对本文 的研究作出重要贡献的个人和集体，均已在文中以明确方式标明。本 人完全意识到本声明的法律结果由本人承担。 学位论文作者签名：黝矽 日期：2 舯c 7 r 午j 月z 尹日 学位论文使用授权声明 本人完全了解中山大学有关保留、使用学位论文的规定，即：学 校有权保留学位论文并向国家主管部门或其指定机构送交论文的电 子版和纸质版，有权将学位论文用于非赢利目的的少量复制并允许论 文进入学校图书馆、院系资料室被查阅，有权将学位论文的内容编入 学位论文作者签名黝呻 导师签名：结嚷嗡 日期：力州夕年厂月2 午日 第l 章绪论 1 1 研究的背景 第1 章绪论 i n t e r n e t ( 因特网) 也称为互连网，它由遍布全球的许多计算机网络通过通信 线路互连而成。i n t e r n e t 技术起源于6 0 年代末期美国军方研究的a r p a 网，经 过大学、研究所的无偿使用、开发和完善，系统得到培养，初步形成规模。1 9 8 6 年美国自然科学基金会( n s f ) 的n s f n e t 整个网络接入a r p a 网，形成i n t e r n e t ， ； 并成为i n t e r n e t 的主干网。1 9 9 5 年因特网的主干由公司和一些商业机构提供和 经营。从此，i n t e r n e t 进入商业应用阶段，系统迅速发展l 。 i n t e r n e t 在我国虽然起步比较晚，但发展速度很快，并随着我国改革开放 三十年取得的辉煌成果，人民生活水平不断提高。i n t e r n e t 日渐走入我们的日 常生活当中，网络应用也日益普及。并且随着i n t e r n e t 的飞速发展，人类已经 进入了一个崭新的信息时代，人们开始追求信息的互连互通以及信息的共享。并 且随着各国信息化的推广，i n t e r n e t 已经渗透到我们日常生活的每一个角落， 如：资源共享、网络在线服务、电子商务、金融网络、办公自动化、同步化与电 子化、网络社区等等。人们越来越发现，生活已经离不开i n t e r n e t ，对网络的 依赖性日益增强。i n t e r n e t 逐渐成为人类社会最重要的组成部分，为推动我国 经济、社会快速发展提供重要保证。据有关部门统计，1 9 9 3 年，全球的i n t e r n e t 用户数约为1 3 0 万台，而到2 0 0 6 年已经达到4 4 亿台。在我国，据中国互联网 络信息中心( c n n i c ) 工作委员会统计，截至2 0 0 8 年7 月，我国联网计算机数已经 达到了8 4 7 0 万台，网民人数2 5 3 亿，大幅度超过美国，跃居世界第一位【2 。 i n t e r n e t 所具有的开放性、互连互通性和共享性等特征满足人类对信息共 享、交流、服务的需求，并为人类提供理想的信息交流环境与平台，为人类的生 活带来许许多多的便利。同时，网络技术的迅速发展和广泛应用，成为推动人类 社会进步的巨大动力。然而，事物是具有两面性的；从另一方面来说，正是由于 互联网的上述特性，给网络带来了许多安全问题。例如：计算机病毒( v i r u s ) 、 木马等计算机恶意代码、黑客网络攻击、入侵行为、信息泄密等，对国家安全， 1 中m 大学硕士学位论文 经济、社会稳定发展产生极大的影响。 1 2 网络安全现状 国际标准化组织( i s 0 ) 对计算机系统安全的定义是：为数据处理系统建立 和采用的技术和管理的安全保护，保护计算机硬件、软件和数据不因偶然和恶意 的原因遭到破坏、更改和泄露。 近年来网络蠕虫的爆发接连不断，给i n t e r n e t 造成了巨大的损失。2 0 0 1 年 7 月，c o d e r e d 蠕虫爆发，在爆发后的9 小时内就攻击了2 5 万台计算机。造成的 损失估计超过2 0 亿美元。随后其变种c o ( j e r e di i 蠕虫造成的损失估计1 2 亿美 元啊。2 0 0 3 年初爆发的“s q l 蠕虫王”，仅仅数小时就使全球主干网陷入瘫痪， 在蠕虫发作的一周时间内就埘全球造成了1 2 亿美元的直接经济损失。而8 月爆 发的“冲击波”蠕虫，疫情更是超过了“2 0 0 3 蠕虫王”。“冲击波”首先在美 国爆发，随后迅速席卷全球，给整个互联网带来了几十亿美元的直接经济损失， 感染计算机超过了1 0 0 万台。2 0 0 4 年5 月1 0 开，本年度最具破坏性的网络蠕 虫”震荡波病毒( s a s s e r ) ”爆发，任何己经开机并且连e 互呋网的计算机，都可 能染es a s s e r 病毒。 图卜l 是江民科技【5 】埘2 0 0 8 年卜半年中国计算机感染病毒的统计。从2 0 0 8 年1 月lr 到2 0 0 8 年6 月3 0 日，反病毒中心共截获新病毒2 0 6 4 3 9 种。江民k v 病毒预警系统数据显示，1 月至6 月全国共有9 8 7 1 6 8 1 台计算机感染了病毒。 世l _ l2 8 年上半年病毒篾腱情况 5 1 第l 章绪论 1 3p 2 p 网络6 1 7 1 i n t e r n e t 自诞生以来一直存在着集中式和分布式两种不同的工作方式。其 中客户服务器模式( c s 模式) 是i n t e r n e t 最成熟、使用最多的集中式工作模 式，i n t e r n e t 许多常用的协议( 如f t p 、h t t p 、e m a i l 等) 都采用了这一模式。 在c s 模式下，服务器( s e r v e r ) 一直处于运行状态，被动地等待客户( c l i e n t ) 的主动接入，客户( c l i e n t ) 将请求发给服务器( s e r v e r ) ，服务器就返回用户 所需的信息。最初阶段，c s 模式在i n t e r n e t 下工作还是非常好的，但是，随 着i n t e r n e t 的应用不断深化，功能上不断扩展，传统意义上的c s 模式的不足 就暴露出来了，效率不能满足现实需要。 正是由于传统的c s 模式不能适应现代i n t e r n e t 需求的时候，人们将目光 重新放回到长久被忽视的分布式系统上。1 9 9 9 年1 8 岁的s h a w nf a n n i n g 开发出 n a p s t e r ，它提供允许音乐迷们交流m p 3 文件。与传统的提供音乐下载的网站不 同的是，n a p s t e r 服务器里没有一首歌曲，它只是提供一索引，让n a p s t e r 用户 们，通过n a p s t e r 服务器的索引，找到索引中相应用户主动建立连接，并完成下 载。在n a p s t e r 发布后的短短半年时间里，它吸引了5 0 0 0 万的用户注册，最高 时超过6 1 0 0 万用户，创造一个计算机网络领域的一个前所未有的奇迹。 n a p s t e r 正是对等模式( p e e r t o p e e rm o d e ) 在世界范围内第一个应用性 的对等网络。对等网络的本质思想在于它打破了传统意义上的c s 模式，让一切 网络成员( p e e r ) 享有自由、平等、互联的功能，不再有客户、服务器之分，任 何网络结点间都能共享文件、传递信息。具体的应用有：文件共享( 如b t ) 、多 媒体传输( 如：s k y p e ) 、实时通信( 如：q q ) 、协同工作( 如：g r o o v e ) 、分布式 数据存取( 如：c f s ) 、分布式计算( 如：g p u ) 等等。并先后经历了以下三代的 发展时期【7 j 第一代，混合式p 2 p 网络，它是c s 和p 2 p 两种模式的混合，其典型应用是 n a p s t e r 与b it t o r r e n t ； 第二代，无结构p 2 p 网络，它以分布、松散的结构来组织网络，故称“无结 构 ，其典型应用是g n u t e l l a 、k a z a a 与e d o k e y e m u l e 等； 中山大学硕士学位论文 第三代，结构化p 2 p 网络，它以准确、严格的结构来组织网络，并能高效地 定位结点和数据，其典型应用为c h o r d 、c a n 以及p a s t r y 等； 并且由于p 2 p 网络使人们的网络信息交流被提升到一个更高的平台与环境， 使人们更加随心所欲地参与到网络当中去，因此，这种新颖的工作模式得到许许 多多用户的认可与支持，并且随着i n t e r n e t 的不断膨胀、不断扩展，p 2 p 网络 将得到更大的发展空间。其优点归纳如下：l 、p 2 p 提高网络的工作效率；2 、p 2 p 网络充分利用网络节点的潜力；3 、p 2 p 网络充分利用了网络的带宽；4 、p 2 p 网 络具有良好的容错性以及非常高的可扩展性。 正是由于它有以上的优点，p 2 p 网络作为分布式系统与计算机网络相结合的 产物，p 2 p 网络在全球得到了广泛的应用。2 0 0 7 年8 月，据德国互联网管理与分 析公司i p o q u e 最新数据显示嗍，p 2 p 应用最高占到了互联网流量的9 0 9 6 。i p o q u e 在报告中称，p 2 p 已经彻底统治了当今互联网。根据地区的不同，5 0 一9 0 的互 联网流量都来自p 2 p 应用，夜间更有9 5 的带宽被p 2 p 应用所消耗。其中， b i t t o r r e n t 已经超越e d o n k e y ，占据了p 2 p 流量的5 0 9 6 7 0 。而e d o n k e y 根据地 区的不同，份额在5 - 5 0 9 6 之间。但是，在世界部分国家和地区，e d o n k e y 仍然主 导p 2 p 流量。另外，该报告还显示，s k y p e 在部分地区的带宽占用率最高也能达 到2 ，并且在夜间，s k y p e 占据了v o i p 流量的9 5 。并且有2 0 的b i t t o r r e n t 和电驴的数据流量进行了加密，以免遭到网络运营商的封杀。 由以上数据可见，在当今的计算机网络领域，p 2 p 应用已经统治了当今的 i n t e r n e t 。因此针对p 2 p 网络安全就显得格外重要，将直接影响着i n t e r n e t 的 健康发展。因此，p 2 p 专业会议i p t p s 在2 0 0 2 年首次召开，会议规模不大，但 影响力不小。并且国际上的重要会议( 如s i g c o 删、i n f o c o m 等) 也开始关注p 2 p 的发展，甚至有些设置了p 2 p 专题讨论会。 1 4 国内外研究现状 f r e i t a s 等人【9 】对p 2 p 网络的蠕虫感染进行了深入的研究。在该文献中，作 者提到，由于p 2 p 网络用户所用平台的差异性，通过适当地重新组合网络拓扑， 第l 章绪论 使平台相同的用户同处于一个子网内，利用蠕虫通常是针对特别平台起作用的特 点，把蠕虫隔离在“孤岛 上面，这将有效地限制蠕虫在独立的“孤岛上传播。 图卜2 是该文献给出对网络节点进行重组的示意图。 d u m i t r i u 等人【1 0 】对p 2 p 文件共享系统中的d o s ( d e n i a l o f s e r v i c e ) 攻击进 行了研究，对p 2 p 网络的恢复力进行了分析与仿真，并提出一种新的攻击方法一 f i l e t a r g e t e da t t a c k 。他们指出：( 1 ) 因为当今p 2 p 网络的可升级性的限 制，f i l e t a r g e t e da t t a c k ( p o l l u t i o n ) 将会是很低效率的；但为什么 f i l e t a r g e t e da t t a c k ( p 0 1 1 u t i o n ) 会取得成功呢? 原因是用户不共享文件、不 移除受污染文件或者在系统受到攻击的时候，很快就放弃了。( 2 ) 针对d o s 攻击， 结构化p 2 p 系统的恢复能力比分层的p 2 p 网络强。 f e n g 等人【1 1 】对p 2 p 网络中的p 0 1 1 u t i o n 行为进行了深入的研究。他们通过分 析p 2 p 文件共享软件m a z e 【1 2 】从2 0 0 5 年1 0 月1 1 日到2 0 0 6 年8 月1 1 日的记录文件，发 现在流行度( p o p u l a r i t y ) 大于一定阈值后，受污染文件的生存时间( 1 i f e t i m e ) 会收敛。因此，他们提出一个l i p ( 1 i f e t i m ea n dp o p u l a r i t yb a s e dr a n k i n g a p p r o a c h ) 方法，通过统计文件的生存时间，就能很好地判断出文件是否受污染。 图卜3 是分析m a z e 记录文件所得出的流行度与生存时问的关系图。 图卜2 针对抑制病毒传播的一般覆盖网结构【9 】 o1 2 3 4 5 6 7 0 0 n 婶u i i 耐蛳 图卜3 文件不同流行度下的生存时0 司【1 1 1 文献【1 3 1 提出一个蠕虫抑制模型，把p 2 p 网络中的节点分为易感、感染和免疫 三种状态，并假设网络存在一定数量的具有蠕虫检测能力的“卫兵 节点，通过 这些“卫兵结点向周围节点发送警告，使其它节点进行自我的免疫。但该方法 忽略了太多p 2 p 网络本身的特性，没有很好反映出蠕虫在实际网络中的传播情况。 文献【1 4 】通过建立模型，模拟蠕虫在非结构化p 2 p 网络中的传播。分别指出被 柏 幻 o (oooioi)e口墨一 中山大学硕士学位论文 动式蠕虫、反应式蠕虫、主动式蠕虫在p 2 p 网络中的传播速度与各种特性。他们 指出主动式蠕虫的传播速度是最快的，因为他们通过历史上积聚的节点地址，主 动地发起攻击。 e r n e s t od 锄i a n i 等人【1 5 】通过建立新型的p 2 p 网络节点信誉机制，向网络中 的用户提供节点的信誉等级纪录，方便用户选择信誉等级高的节点进行下载，这 样就有效地控制恶意节点在网络中的传播。同样，文献【1 6 】也提出一个p 2 p 网络 的信誉机制一资源链模型( r e s o u r c ec h a i nm o d e l ) ，能有效地解决p 2 p 网络当 中存在一些信誉节点比较低( m a l i c i o u sn o d e s ) 的问题。 1 5 研究的目标和意义 由于i n t e r n e t 与生俱来的共享性，开放性和互连性以及信息系统本身安全 的脆弱性，随着i n t e r n e t 的快速发展与普及，计算机病毒、蠕虫、木马等恶意 代码严重威胁着信息系统的安全性，给经济的发展、社会的稳定带来一定的影响。 并且随着各国的信息化的推广越来越普及，这方面的影响将会越来越深，相应的 研究投入应该得到重视。 尽管人们已经对i n t e r n e t 病毒等进行了大量的研究并提出了各种防范措 施，但问题远远没有得到很好的解决；特别是p 2 p 网络病毒防御方面，各方的研 究做得还不深入。因此，进行p 2 p 网络病毒防御的研究将会有很大的意义。本文 通过p 2 p 网络仿真，对影响病毒传播的诸多因素进行深入的探讨，并通过仿真得 到的大量实验数据的基础上，提出一个基于共享时间异常与节点免疫力的综合防 御机制，并针对该机制进行实验，验证该机制的可靠性与有效性。由此，本论文 的结构安排如下： 第1 章为绪论部分，探计目前p 2 p 网络的应用现状以及p 2 p 网络病毒的研究 ， 现状与意义； 第2 章对p 2 p 网络在安全方面的优缺点，相应的缺陷以及防御措施进行了比 较深入的分析研究： 第3 章从整体上介绍一下p 2 p 网络仿真的系统总体框架，并详细介绍所应用 第l 章绪论 到的仿真工具、开发平台以及p 2 p 协议工作原理等；并且综合考虑各种因素( 如： 下载时间，到达率，在线时间以及网络免疫力等) 对病毒传播的影响，通过仿真 实验，系统地得出相应的数据图，并对得到的数据图进行分析研究。 第4 章提出一个基于节点免疫力的病毒文件共享时间异常的发现模型，并对 该模型的效果进行检验； 第5 章对全文的研究工作进行总结并对未来的研究工作进行展望。 第2 章p 2 p 嘲络安全目腥分析 第2 章p 2 p 网络安全问题分析 p 2 p 网络作为一种分弁式网络应用，它的用户共享着各自所拥有的资源，以 达到资源的扩大化咀及信息交流的自由化。p 2 p 网络中的用户通过向p 2 p 网络发布 自己的资源信息，并通过网络所提供的服务，能让其他对等节点( p e e r ) 直接访 问而无需经过中间实体( 也说是传统c s 模式中的服务器) 。在p 2 p 网络中，用户 既是资源的提供者( s e r v e r ) ，电是资源的获得者( c l i e n t ) 。p 2 p 技术打破传统 c s 模式，充分发挥网络当中每个节点的能力，让每个节点的地位是对等的，不 仅能提供隐私保护与匿名通信，还能提高网络的健壮性和抗毁性。尸2 p 与c s 模式 的对比如图2l 所示f 17 】： 番提供占 h 碧蚋自暂自女巍搓供吞控制 臣国国 置盘颤接鼠右 一一 f ，j 二 | | 骛 2 】p 2 p 技术安全上的优点 2 1 1 隐私保护与匿名通信 在p n p 刚络中，由下采用分巾式的设计，信息与数据的传输是分散在各仃点 之问独立进行的而无需经过某个集中环节( 如：传统c s 模式中的s e r v e r ) ，这 样，就能有效地避免在集巾环节处，大量的用户隐私信息被窃i 听，因此，泄漏的 可能性也大大地减少。此外，目前解决i n t e r n e t 隐私问题丰要采用中继转发的方 法，从而将通信的参与者隐藏在众多的网络宴体之中。在一些传统的匿名通信系 中山大学硕士学位论文 统中，实现这一机制依赖于某些中继服务器。而在p 2 p 网络中，所有用户节点都可 以提供中继转发功能，因而大大提高了匿名通信的灵活性和可靠性，能够为用户 提供更好的隐私保护【1 7 1 。 2 1 2 网络服务的健壮性 p 2 p 网络是一种分布式架构的网络，网络中的节点既是网络资源与服务的获 得者，又是网络资源与服务的提供者，p 2 p 网络不依赖于少数集中控制节点，具 有比传统的c 1 i e n t s e r v e r 网络更好的健壮性和抗毁性，成为构建高健壮性网络 的有效方式【1 8 1 。 同时，由于p 2 p 网络服务是分散在各个结点之间进行的，部分节点或网络遭 到破坏对其他节点的影响是很小的。当部分结点失效时，p 2 p 网络能够自动调整 网络拓扑，保持节点间的连通性，从而保证网络的高可靠性。同时，p 2 p 网络通 常是以自组织( a dh o c ) 的方式建立起来的，允许节点自由地加入和离开；并能根 据网络带宽、节点数与负载等变化，不断地做自适应式的调整【1 7 1 。可以说p 2 p 网络具有与生俱来的耐攻击、高容错等优点。 2 2p 2 p 技术存在的安全隐患 由于p 2 p 网络采用的架构是分布式的，这种架构在提供良好的扩展性与灵活 性的同时，也会带来巨大的安全隐患。在传统c s 模式下，比较成熟的安全保护 技术如：授权、身份验证、数字签名等机制；在目前的p 2 p 技术上，实现上述的 机制还存在一定的差距，下面就来介绍一些主要的p 2 p 技术缺陷【1 8 】【1 9 】： ( 1 ) 一个恶意的服务器可以接受来自主服务器的文档副本信息，然后向用 户发送修改过的信息。它还可以在接受了主服务器的副本后拒绝向用户提供服 务，造成“服务否认 。更为隐蔽的攻击方法是恶意服务器不分配给文档副本足 够的资源空间，造成用户没办法下载该文档。 ( 2 ) 目前流行的大多数p 2 p 系统并没有在节点间建立完善的信任机制，通常 只是采取简单的机制防止恶意行为。例如，有的方案并不阻止一个节点共享一个 第2 章p 2 p 网络安全问题分析 内容与描述不匹配的文件，用户必须亲自解决因下载其他节点的文件而带来的风 险，这也是p 2 p 技术自身特点所造成的，也是急需解决的问题。 ( 3 ) 虽然j x t a 和p 2 p 信任库也提供传统的密码机制( 如：加密、数字签名和 散列等) ，文档的合法作者可以通过在其文档中添加一个加密的数字签名来对文 档进行完整性检测，但由于目前大多数浏览器并不能检测文档数字签名，所以这 种机制用于p 2 p 网络是不切实际的。即使浏览器可以进行数字签名检测，客户机 也不能正确区分一个被移除了数字签名的盗版文档和一个正版的未签名的文档。 ( 4 ) 节点在p 2 p 网络中为了获取它所需要的资源，首先要向p 2 p 网络发送查 询报文以定位资源和获取邻居节点信息。同时，为了使查询算法获得较高的可靠 性与准确性，一般采用广播方式( 泛洪等方式) 进行查询。针对这一特点，恶意 节点可以伪装成正常的节点发送大量不同的查询报文，以达到消耗大量的网络带 宽的目的【2 0 1 。 ( 5 ) 节点在查找所需资源的时候我们首先需要保证的是所下载的资源正是 我们所需要的资源。在理想的情况下，我们当然希望所下载的资源正是我们所需 要的资源，而不是包含其它我们不需要或者不希望得到的垃圾或病毒文件。但是 在目前已实现的p 2 p 系统中，由于不存在中心服务器，没办法提供的基于内容真 实性与完整性的鉴别检验，共享资源的真实性与完整性严重依赖于资源提供者和 需求者之间的相互信任。事实上，p 2 p 网络只能保证所请求资源的标志( 通常是 名称) 与希望的标志一致。这也使得一些恶意节点可以通过散布大量的垃圾文件、 病毒文件信息，并伪装成正常文件进行传播【2 0 】。 ( 6 ) p 2 p 节点在下载的同时又能够进行上传，如果在局域网内部有相当数量 的用户使用p 2 p 软件交换数据，将会使带宽迅速耗尽以致无法正常使用网络服务。 2 3 p 2 p 网络面临的安全威胁 正是由于p 2 p 技术在安全上存在上一节所说的不足，这就为网络中的攻击者 提供了各种各样的机会，进行不法行为，以达到攻击的目的。下面就来简要地说 明一下，p 2 p 网络所面临的安全威胁【1 8 】： 中山大学硕士学位论文 ( 1 ) 存取攻击 攻击者通过正确地执行查找协议，但却否认它自己拥有该数据。同时，攻击 者也可以向其它节点宣称自己保存有这些数据，但却拒绝提供数据下载，致使其 他节点无法得到该数据。 ( 2 ) 路由攻击【2 1 】【2 2 】 p 2 p 查找协议的主要功能是维护路由表，通过发送查找报文，及时更新路由 表，并根据路由表把节点请求发送给相应的节点。攻击者通过正常的路由查找操 作，与系统中的其他节点进行交互，然后根据得到的路由信息，建立不正确的路 由表，将其他节点的查找报文转发到不正确或者不存在的节点上。或者攻击者节 点构成一个运行着与正常网络一样协议的虚假网络，如果一个新节点把这个虚假 网络中的某个节点作为它的父节点( 以获取相应的初始路由信息) ，那么将落入这 个虚假网络中，使该节点与真实网络分隔开来。 ( 3 ) 行为不一致攻击 攻击者对网络拓扑中比较远的节点发起攻击，而对自己邻近的节点却表现出 一切正常的假象。远方节点能发现这是一个攻击者，但邻近节点却认为这是一个 正常的节点。 ( 4 ) 目标节点过载攻击( d o s ) 这是一种拒绝服务( d o s ) 类型的攻击。攻击者通过向某些特定目标节点发 送大量的垃圾分组消息，以耗尽目标节点的处理能力，致使该目标节点不能进行 正常操作。在一段时间之后，p 2 p 系统会认为被攻击的目标节点已经失效退出系 统，从而将目标节点从系统中删除。 ( 5 ) 穿越防火墙 由于p 2 p 应用软件经过特殊的设计，能够穿越防火墙使内外网用户建立连接， 使得p 2 p 网络节点既可以位于公网，也可以处在内部局域网。这就像是在防火墙 上开放了一条隧道，使得内网用户直接暴露在不安全的外部网络环境下，影响内 网用户的安全。 第2 章p 2 p 网络安全问题分析 ( 6 ) p 2 p 网络带来的新型网络病毒传播问题【捌 p 2 p 网络在为用户提供方便的共享和快速的选路机制的同时，也为某些网络 病毒提供了很好的入侵机会与传播平台。并且由于p 2 p 网络的节点数量是非常宠 大的，如果通过p 2 p 网络传播病毒，其影响范围将很广，造成的损失将会是巨大 的。在p 2 p 网络中，节点间的防御病毒的能力是有差异性的。只要有一个节点感 染病毒，就可以通过内部共享与通信机制将病毒快速地传播到附近的邻居节点。 在短时间内可以造成网络拥塞甚至瘫痪，甚至通过网络病毒可以完全控制整个网 络。 随着p 2 p 技术的快速发展、应用的日益普遍，以及它所带来的巨大经济效益， 将来会出现越来越多针对p 2 p 网络系统的病毒。利用p 2 p 系统自身的漏洞，达到快 速传播、破坏与控制系统的目的。因此，鉴于p 2 p 网络系统自身的安全隐患，为 了使p 2 p 技术获得良性的发展空间，我们需要一个高效、安全、可靠的病毒防御 体系。 2 4p 2 p 网络安全的防御技术 针对p 2 p 网络自身的技术特点，p 2 p 网络的安全主要涉及到以下四个方面： p 2 p 网络资源的安全、p 2 p 网络安全、p 2 p 网络节点自身的安全与p 2 p 网络中用 户节点间通信的安全。而目前p 2 p 所采取的主要技术有【1 8 】： ( 1 ) 信任机制； ( 2 ) p 2 p 网络安全：p 2 p 网络属于分布式的网络体系结构，可以采用传统的 网络安全技术，如：防火墙、v p n 和r a d i u s 等技术； ( 3 ) p 2 p 网络节点自身安全：可以通过安装各种个人防火墙和防病毒软件来 提升用户对病毒的防御能力； ( 4 ) p 2 p 网络对等节点之间的通信安全：p 2 p 对等节点之间的通信安全问题 比较复杂，主要包括节点之间的双向认证、节点通过认证之后的访问权限、认证 的节点之问建立安全隧道和信息的安全传输等问题。目前比较可行的方案是采用 中山大学硕士学位论文 安全遂道( 网络层、传输层和应用层安全隧道) ，结合数据加密、身份认证、数 字签名等技术来解决信息安全中的机密性、真实性、完整性、不可否认性和存取 控制安全等问题。 2 5 本论文所涉及的p 2 p 安全问题 前面几节分别介绍了p 2 p 网络在安全问题上面的优缺点，以及相应防御措施 介绍等，并进行了比较深入的探讨。但由于p 2 p 协议本身的安全性【4 2 1 ：为病毒与 恶意代码提供理想的传播环境；为信息泄漏提供了途径；同时，由于p 2 p 协议鼓 励用户共享、忽略适当的保护策略，从而更容易暴露用户的身份信息；在安全问 题上面，显得非常难以解决，并随着p 2 p 网络的快速发现，可以说安全问题已经 成为p 2 p 网络最迫切需要解决的一个问题，解决p 2 p 网络的安全问题，将会对p 2 p 继续良性发展起到十分重要的作用。 考虑到p 2 p 网络安全的现实意义以及p 2 p 网络安全的诸多问题，本论文选择 p 2 p 网络的文件下载系统的安全性问题进行研究探讨。 2 6 小结 本章主要介绍p 2 p 网络在安全问题上的优缺点，并就p 2 p 网络自身的特点，提 出p 2 p 网络在安全问题上的漏洞，随后分析目前p 2 p 网络相应的防御措施，并进行 了比较深入的探讨。就上述所得的分析结果，我们发现p 2 p 网络的安全问题显得 非常难以解决，安全问题将是p 2 p 网络最迫切需要解决的一个问题，它将会制约 p 2 p 继续良性发展，同时这也是本论文选题的意义所在。 第3 章p 2 p 网络病毒传播的仿真设计与结果分析 第3 章p 2 p 网络病毒传播的仿真设计与结果分析 由于p 2 p 网络高度的可扩展性以及网络规模的巨大性，现实当中很难提供一 个真实的p 2 p 网络供我们进行研究。因此，对p 2 p 网络的研究大部分还集中网络 仿真阶段，并且为了适应p 2 p 网络仿真的需要，人们相应地开发出各种不同的仿 真工具，如p 2 p s i m 、p e e r s i m 与g p s 等，它们都是基于c 、c + + 或j a v a 语言的开 源仿真工具。因此，我们需要配置好相应的网络仿真工具以及相应的开发平台， 才能合理、高效地进行相应的p 2 p 网络研究。下面就先详细地介绍一下本论文所 涉及的p 2 p 网络仿真工具p e e r s i m 、开发平台e c l i p s e 以及所使用的p 2 p 网络仿 真协议一n a p s t e r ；然后再通过配置好的仿真实验平台进行仿真病毒的传播分析。 3 1p 2 p 网络仿真工具一p e e r s i m 【2 4 】 3 1 1p e e r s i m 简介 p e e r s i m 是g i a np a 0 1 0j e s i 等人开发出基于j a v a 的开源软件。p e e r s i m 的 设计思想是基于构件的，这样使它很容易复制协议，安装不同的插件来达到不同 的功能。p e e r s i m 的主要特点是：1 、高度的可扩展性。2 、动态环境适应性。3 、 支持大规模网络仿真( 网络规模可支持1 ，0 0 0 ，0 0 0 个节点) 。 p e e r s i m 由两个模拟引擎组成：一个是基于循环的，另一个是基于事件驱动 的。基于循环的模拟引擎使用了一些简化的假设( 比如忽略了传输层细节) ，使 它具有很好的可扩展性。而事件驱动的模拟引擎效率较低，但它更符合实际情况。 在p e e r s i m 的框架中，先通过调用s i m u l a t o r 类读取配置文件中的初始化信 息( 如：节点数、仿真运行的循环数等) ，控制类( 如：i n i t 类，c o n t r 0 1 类等) 。 具体的步骤如下【2 5 】【2 6 】【2 7 】： 1 、选择一个网络规模( 通过配置文件中的n e t w o r k s i z e 语句设定网络 节点数) 中山大学硕士学位论文 2 、选择一个或多个协议( 通过在配置文件中的p r o t o c 0 1 前缀引入相应 的协议类) 进行实验，并对它们进行初始化 3 、选择一个或多个的控制类( 通过在配置文件中的c o n t r o l 前缀引入相 应的协议类) 来对仿真实验过程实施控制与数据的纪录工作。 4 、调用s i 叫l a t o r 类，进行仿真实验 实验过程中所创建的对象都是通过实现一个或多个接口来完成相应的功能 的。主要接口如表3 1 所示： 表3 1p e e r s i m 的主要接口与类 名称功能 n o d ep 2 p 网络是由节点所构成的。一个节点是仿真实验中协议的容器，通过n o d e 接口，可以引用节点所支持的协议。p e e r s i m 为每个节点分配一个i d 号 c d p r o t o c 0 1简单地定义了每个周期被执行的协议( 只有一个n e x t c y c l e ( ) 方法被定义) l i n k a b l e 通过这个接口，节点间可以建立邻居链表，获得邻居节点的信息 c o n t r o l 类通过实现该接口，就能在仿真实验当中的某一个环节被执行。它的典型应用 就是观察与修改实验参数。 p e e r s i m 程序的调度是通过读取配置文件中的类来实现的，具体是通过配置 文件中的i n c l u d e 前缀来把相应的类加载到p e e r s i m 当中，并通过类名在i n c l u d e 语句当中出现的前后来控制那个类先执行，那个类后执行。图3 1 是p e e r s i m 程 序调度的过程。 1 c 璺- 竖? p 譬! 粤p 竺p 望卜一一引 i f l i to l 2 l a s t 图3 1p e e r s i m 的程序调度过程【羽 图3 1 中字母“c 代表仿真实验中的控制类；字母“p 代表仿真实验中的 协议类；图中的下半部分是p e e r s i m 仿真执行的循环数【2 5 】。 第3 章p 2 p 网络病毒传播的仿真设计与结果分析 其中p e e r s i m 配置文件描述如下所示： # c o m p l e xn e t w o r kf i1 e ： # r a n d o i l l s e e d12 3 4 5 6 7 8 9 0 s i m u l a t i o n c y c l e s4 0 0 s i m u l a t i o n e x p e r i m e n t s1 n e t w o r k s i z e5 0 0 0 p r o t o c 0 1 1 i n ki d l e p r o t o c 0 1 p r o t o c 0 1 c o o r de x a m p l e n a p s t e r n a p s t e r p r o t o c 0 1 p r o t o c 0 1 c o o r d f i l e le x p e r i m e n t l i n c l u d e p r o t o c 0 1 li n kc o o r d i n i t oe x a m p l e n a p s t e r i n i t i a l i z e r i n i t o s e e d1 0 i n it o d r o t o c 0 1c o o r d i n it p 1e x a m p l e n a p s t e r p o w