[论文解读] Hybrid spreading of the Internet worm Conficker.

Changwang Zhang, Shi Zhou+1 more|arXiv (Cornell University)|Jun 22, 2014

Network Security and Intrusion Detection参考文献 7被引用 1

一句话总结

本文提出一个数学模型，利用网络测量数据分析Conficker蠕虫的混合传播机制——结合本地、邻近和全局探测。研究发现，该蠕虫的高感染性源于其多管齐下的策略；尽管存在理论上的应对措施，但实际实施仍具挑战性，凸显了针对类似蠕虫改进防御策略的迫切需求。

ABSTRACT

Conficker is a computer worm which erupted on the Internet in 2008. It is unique in combining three different spreading strategies: local probing, neighbourhood probing, and global probing. We propose a mathematical model to infer the worm’s parameters from network measurement data. We reveal that it is the mixture of spreading mecha-nisms that makes Conficker one of the most infectious worms, as it is extremely efficient at exploiting any weakness present on the Internet. We show that potential measures to limit the spread of the worm work in theory but are dif-ficult to implement in practice. Our work calls for new and more effective strategies to defend against Conficker-like worms. 1

研究动机与目标

• 理解Conficker在互联网上快速传播背后的机制。
• 建立本地、邻近和全局探测在Conficker传播中协同作用的数学模型。
• 从真实网络测量数据中推断关键蠕虫参数。
• 评估理论性反制措施在实际中的可行性。
• 识别针对类似混合型蠕虫所需的新一代、更有效的防御策略。

提出的方法

• 构建数学模型，以表征Conficker的三种不同传播策略：本地、邻近和全局探测。
• 利用网络测量数据校准并推断模型参数。
• 应用统计推断技术，估算每种传播机制的相对贡献。
• 通过不同配置下的蠕虫传播模拟，评估其效率与可扩展性。
• 将理论缓解策略与模型预测结果进行对比，以评估其实际可行性。

实验结果

研究问题

• RQ1 本地、邻近和全局探测机制的协同作用如何导致Conficker的高感染率？
• RQ2 哪些参数决定了Conficker传播中每种传播策略的相对有效性？
• RQ3 为何针对Conficker的理论反制措施在实际部署中无效？
• RQ4 Conficker传播策略的混合特性在多大程度上增强了其韧性和传播能力？
• RQ5 需要何种新型防御策略，以应对具有类似多向量传播特性的蠕虫？

主要发现

• Conficker的混合传播策略通过同时利用多个网络接入点，显著提升了其感染能力。
• 本地、邻近和全局探测的结合使蠕虫能够快速识别并入侵易受攻击的系统。
• 尽管存在理论上的缓解策略，但在实际部署中面临重大实施挑战。
• 该模型成功地从网络测量数据中推断出关键传播参数，验证了其准确性。
• 研究结果强调了迫切需要开发新型、自适应的防御机制，以应对Conficker这类多向量蠕虫。