病毒木马的传播-课堂报告课件

计算机病毒和木马的传播模型一、计算机病毒概念与危害二、网络病毒传播的特点三、计算机病毒传播模型四、防御对策一、计算机病毒概念与危害二、网络病毒传播的特点三、计算机病毒传播模型四、防御对策计算机病毒（computervirus）是一种人为制造的计算机程序，能够自身复制,将代码依附在别的程序上，通过主程序的执行，伺机传播，进行各种破坏活动。计算机病毒概念Internet计算机病毒起源冯·诺伊曼1949年在《复杂自动装置的理论及组识的进行》里，勾勒出病毒程序的蓝图贝尔实验室1977年，三个年轻人制作的“磁芯大战”（corewar)游戏，将电脑病毒"感染性"的概念体现出来C-Brain1987年，巴基斯坦兄弟巴斯特和阿姆捷特完成了业界公认的第一个真正的计算机病毒历史上著名的病毒事件：1999“Melissa”病毒通过电子邮件传播。该病毒造成的损失超过8000万美元。利用Outlook自动给地址簿里的好友发送带着一个名为List.doc病毒文件的邮件。这可能是社会网络六度分离理论最早被证明的实例。历史上著名的病毒事件：19992000“ILoveYou”病毒通过电子邮件传播，无数宅男宅女中招。总共感染了4500万电脑历史上著名的病毒事件：199920002001“Nimda”病毒通过FTP、电子邮件、IM软件、网页传播。造成3.7亿经济损失。历史上著名的病毒事件：199920002001“冲击波”病毒通过电子邮件传播，全球80%的Windows系统遭受攻击。2003历史上著名的病毒事件：1999200020012004年“MyDoom”病毒通过电子邮件传播，造成385亿美元损失。2002历史上著名的病毒事件：1999200020012005年爆发的“灰鸽子”通过多种网络传播方式。国内至少有上千万台电脑感染过该病毒。2002历史上著名的病毒事件：1999200020012006年底“熊猫烧香”病毒通过端口攻击和恶意脚本传播，国内至少有100万台电脑受到感染。2002历史上著名的病毒事件：1999200020012007年“AV终结者”通过脚本和网页文件传播，采用多种方式对抗反病毒软件，破坏电脑的安全系统，随意窃取用户帐号和密码,感染网络用户数超过十万。2002历史上著名的病毒事件：1999200020012008年“扫荡波”病毒通过系统漏洞进行传播，令大量的局域网崩溃。2002历史上著名的病毒事件：1999200020012002

病毒的作者并非只是个人与地方团体，更有国家机构的参与。2010年，“Stuxnet”病毒通过U盘传播，专门破坏伊朗核设施的西门子工控系统。

2012年，“Flame”病毒是目前世上最复杂的病毒，样本高达100多兆，采用先进的病毒技术，包括MD5碰撞攻击等，专门针对中东地区。一、计算机病毒概念与危害二、网络病毒传播的特点三、计算机病毒传播模型四、防御对策计算机病毒的结构传染条件判断传染代码传染模块表现及破坏条件判断破坏代码表现模块计算机病毒的分类宿主分类文件型引导型传播途径网络移动载体攻击系统WindowsUnixMac工控系统破坏能力良性恶性计算机病毒的传播方式网页传播邮件传播即时消息传播漏洞传播计算机病毒的传播特点病毒感染速度快扩散面广传播途径复杂难以彻底清理破快性大可激发性潜伏性一、计算机病毒概念与危害二、网络病毒传播的特点三、计算机病毒传播模型四、防御对策生物病毒传播规则网络复杂网络经典传播模型易受感染（Susceptible）已感染（Infectious）治愈移除（Removed）SISSIR1990年初，Kephart和White依据生物上流行病的传播模型提出了计算机病毒的传播模型，也就是SIS模型。1）SIS模型

(Susceptible-Infected-Susceptible)SIS模型

模型前提假设感染节点I与易感染节点S的个体是混合且均匀的节点的数量N足够大，只考虑传染过程的平均效应易感节点被感染的机会与他接触感染节点的机会成正比计算机病毒的传染率为常数不考虑节点的迁入与迁出感染节点以固定的比率治愈，而重新成为易感节点比率为常数SIS状态转移图：SIS模型治愈后的节点还有可能被重新感染。因此，病毒有可能会在传播群体中反复传播而长期存在。SI

SIS模型

有效传播速率SIS模型

病毒在网络中传播持久存在

病毒以指数速度衰减，并最终消亡

状态转移图：2）SIR模型

(Susceptible-Infected-Removed)SI

R治愈后具有免疫力不再传播病毒SIR模型虽然SIS、SIR是经典的传播模型，但是在描述真实病毒传播上还有很大的不足。因此涌现了以SIS、SIR模型为基础，更加完善的传播模型。

SISSIRSEIRSIRHSIDRTwo-factor……SIRH考虑了病毒对抗措施以及变化的感染率传统模型的不足网络是封闭的没考虑网络拓扑网络节点是平等的复杂网络20世纪末，兴起以小世界(smallworld)、无标度网络(scale-free)为代表的复杂网络理论研究。ER随机图WS小世界BA无标度复杂网络特性statisticalmechanics均匀网络与复杂网络临界值特性均匀网络ER随机网络和WS小世界网络的节点度分布都近似可用Poisson分布。均匀网络传播临界值

病毒能够在网络中传播开来并将长期存在下去

病毒呈指数衰减，无法大范围传播

实际数据情况

FromFebruary1996toMarch2000Pastor-SatorrasR,VespignaniA.Epidemicspreadinginscale-freenetworks现实世界计算机病毒传播并没有想象广泛，只是处于较低感染程度

病毒并不是在均匀网络中传播无标度网络无标度网络传播临界值

无标度网络传播特性1无论传播速率多大，只要比零大，病毒都能传播，并维持在一个平衡状态2具有无标度特性的网络，一小部份感染就可以进行大范围传播3真实网络中传播速率趋于零。因此一般情况病毒传播最终只能达到一个较低程度复杂网络中邮件病毒传播模型ZouCC,TowsleyD,GongW.Emailviruspropagationmodelingandanalysis[J].DepartmentofElectricalandComputerEngineering,Univ.Massachusetts,Amherst,TechnicalReport:TR-CSE-03-04,2003.互联网电子邮件服务看作是体现人类关系的无向图假设节点的度服从幂律分布邮件病毒传播模型

电子邮件检查时间打开概率

independent重复感染和非重复感染重复感染只要用户打开病毒附件就会向外发出病毒邮件的副本，因此一个接收者可以重复地接收来自同一位中毒用户的病毒邮件非重复感染被感染用户仅向外发送一次病毒邮件副本，以后不再发送同样的病毒邮件重复感染和非重复感染的对比初始感染度大的节点和度小的节点对比初始被感染的节点的“身份”,在稀疏连接的网络中比密集连接的网络中更重要，影响更大随机、小世界、无标度网络对比结论1幂律分布网络中，病毒的传播速率明显快幂律分布网络的平均路径长度比另两类小幂律分布网络中，节点的度差异很大，开始感染度大的节点，这些节点会发送出更多的病毒副本结论2非重复感染的情况下，幂律分布网络中最终未被感染的节点比另两类网络多节点被感染的概率随度的降低而减少，幂律分布网络中有更多节点的度小于平均度，这些节点被感染的概率较小，所以该网络最终被感染的节点数少于另外两种网络一、计算机病毒概念与危害二、网络病毒传播的特点三、计算机病毒传播模型四、防御对策网络病毒防护策略真实网络真实网络大都具有复杂网络的小世界、无标度等特性，因此在真实网络病毒防护中要依据复杂网络的病毒传播特性来制定相应策略健壮性与脆弱性复杂网络对随机攻击具有很强的健壮性，但是存在少数度很高的节点，因此对于关键节点的攻击又存在脆弱性无传播阈值复杂网络因为不存在传播阈值使得病毒传播更加迅速对应策略对网络中高度节点最大限度强化病毒免疫能力，提高对未知病毒的启发式防御。积极部署云查杀机制，对网络节点病毒感染及时反应，降低病毒有效传播速率用户要提高自身病毒防护水平，及时更新补丁，减少防护死角政府制定相关法规，规范个人与机构的不法行为参考文献AlbertR,BarabásiAL.Statisticalmechanicsofcomplexnetworks[J].Reviewsofmodernphysics,2002,74(1):47.ZouCC,TowsleyD,GongW.Emailviruspropagationmodelingandanalysis[J].DepartmentofElectricalandComputerEngineering,Univ.Massachusetts,Amherst,TechnicalReport:TR-CSE-03-04,2003.SerazziG,ZaneroS.Computerviruspropagationmodels[M]//PerformanceToolsandApplicationstoNetworkedSystems.SpringerBerlinHeidelberg,2004:26-50.YangLX,YangX,WenL,etal.Anovelcomputerviruspropagationmodeland

itsdynamics[J].InternationalJournalofComputerMathematics,2012,89(17):2307-2314.汪小帆,李翔