[论文解读] Peer to Peer Networks for Defense Against Internet Worms

Srinivas Shakkottai, R. Srikant|ArXiv.org|May 8, 2006

Network Security and Intrusion Detection参考文献 21被引用 12

一句话总结

本文提出使用点对点（P2P）网络来加速补丁分发并有效遏制快速传播的互联网蠕虫，通过流体建模和仿真表明，与固定补丁服务器架构相比，P2P系统可显著减少感染的遏制时间和最大感染主机数量。

ABSTRACT

Internet worms, which spread in computer networks without human mediation, pose a severe threat to computer systems today. The rate of propagation of worms has been measured to be extremely high and they can infect a large fraction of their potential hosts in a short time. We study two different methods of patch dissemination to combat the spread of worms. We first show that using a fixed number of patch servers performs woefully inadequately against Internet worms. We then show that by exploiting the exponential data dissemination capability of P2P systems, the spread of worms can be halted very effectively. We compare the two methods by using fluid models to compute two quantities of interest: the time taken to effectively combat the progress of the worm and the maximum number of infected hosts. We validate our models using Internet measurements and simulations.

研究动机与目标

• 为解决固定补丁服务器架构在遏制快速传播的互联网蠕虫方面能力不足的问题。
• 研究P2P网络是否能够实现相比传统客户端-服务器模型指数级更快的补丁分发。
• 量化早期蠕虫检测的监控需求，并评估大规模网络监控的可行性。
• 比较固定补丁服务器与基于P2P的补丁分发在遏制时间与最大感染水平方面的性能表现。

提出的方法

• 作者使用基于确定性微分方程的流体模型来模拟蠕虫传播与补丁分发的动力学过程。
• 采用经典的SIR类流行病框架对蠕虫传播进行建模，将感染率归一化为1以提升分析可操作性。
• 通过推导得出固定补丁服务器的遏制时间呈Θ(ln N)，其中N为主机总数，从而分析其性能。
• 对于P2P补丁分发，建模其指数级传播能力，表明由于快速的点对点传播，遏制时间缩放为Θ(ln ln N)。
• 基于感染主机的扫描流量推导出实现早期检测所需的监控主机数量，假设扫描行为均匀分布。
• 通过真实互联网测量和仿真验证模型，确认理论预测的准确性。

实验结果

研究问题

• RQ1 固定数量的补丁服务器在遏制快速传播的互联网蠕虫方面效果如何？
• RQ2 与传统补丁服务器模型相比，P2P网络是否能显著缩短蠕虫爆发的遏制时间？
• RQ3 为在给定时间窗口内检测到蠕虫，需要监控多少台主机？该数量如何随网络规模扩展？
• RQ4 固定服务器架构与P2P补丁分发架构在峰值感染主机数量方面有何差异？
• RQ5 指数级补丁分发对网络监控与早期检测有何影响？

主要发现

• 固定补丁服务器的遏制时间为Θ(ln N)，对于像Slammer这样的快速传播蠕虫而言过慢。
• 基于P2P的补丁分发将遏制时间减少至Θ(ln ln N)，实现近乎指数级的蠕虫传播抑制。
• 为在ln ln N时间内检测到蠕虫，所需监控的主机数量为Θ(N / ln ln N)，在当前互联网环境下不切实际。
• 对于具有85,000台主机的Slammer类蠕虫，若要在1.6分钟内检测到蠕虫，需监控约7,500台主机（约占总人口的10%）。
• 在当前的IPv4互联网（2^32个地址）中，若要在3个时间单位内检测到蠕虫，需监控约2^27个地址，超过一个/8前缀，表明大规模监控在无协作情况下不可行。
• 结果表明，主机或网络运营商的主动协作对于有效蠕虫监控至关重要，支持采用基于P2P的检测与报告系统。