车载蠕虫传播建模与仿真

梁广民，任 安

(1. 深圳职业技术学院电子与通信工程学院 广东 深圳 518055;2. 吉林大学计算机科学与技术学院 长春 130012)

车载自组网的大规模部署和车载电脑的普及，使其成为新型无线蠕虫攻击的目标[1-2]。不同于有线网中的传统Internet蠕虫，无线蠕虫的传播不要求网络具有稳定的拓扑结构，可以对车载关键应用系统如引擎控制系统，安全预警系统等发起攻击，造成交通拥塞，甚至是大规模交通事故，但是受到自组网空间机会连通性[3]的影响，无线蠕虫表现出迥异的传播特性，认识和理解这种差异有利于工程人员设计面向车载自组网的高效智能的无线蠕虫检测和控制策略。

不同于病毒程序需要寄主，蠕虫可以独立运行并无需人类干预而自行扩散传播。近几年，针对Internet上的蠕虫传播基于传染病模型开展了广泛研究[4-5]，主要包括SI、SIS、SIR、SIRS、SEIR和SEIRS模型(S、I、E和R分别表示易感染、已感染、潜伏和恢复状态)，以及其他相关工作[6]。固网蠕虫的传播主要受到网络带宽、链路延迟和扫描策略的影响。随着移动设备计算能力的提高，针对蓝牙设备[7]、Wi-Fi设备[8]和车载终端[9]的蠕虫攻击开始出现，如文献[1-2]所述。对于手机网络蠕虫传播的研究[10]表明，无线蠕虫的传播更易受到移动终端相遇模式的影响，但是，目前全面评估车载自组网蠕虫传播的研究还很少[11-13]，仅有的几项工作也是从统计物理的角度开展的，没有考虑到实际道路情况的影响，也没有给出网络仿真结果。

文献[11]将传统的传染病SIR模型用于建模蠕虫在VANETs上的传播，指出交互式更新补丁能够有效地抑制蠕虫在拥塞和低密度流量场景下的传播。文献[12]分析了抢先免疫和交互式补丁对蠕虫在VANETs传播的影响。文献[13]使用真实的高速公路数据分析了一天中不同时刻的蠕虫传播情况，指出在高峰时段(如15:00～17:00)，蠕虫传播或者补丁分发均能遍及全网。本文对车载自组网城市场景下的移动模式、通信信道、媒质访问控制和蠕虫传播进行数学建模和规则抽取，通过大量的蒙特卡洛实验分析了影响未知蠕虫传播的理论因素。

1 模型

1.1 移动模型

智能驾驶员模型(intelligent driver model，IDM)[14]是一种时间连续的微观模型，能够以较少的参数和统一的形式描述从自由流到拥塞流的车辆行为。某一时刻的流量状态由所有车辆的位置、速度和所在车道刻画。任一驾驶员的加、减速行为只依赖于他自身和刚好在他前面行驶车辆的速度，而改道则依赖于所有的邻居车辆。对于车辆i及其直接前方车辆j而言，设定xi和vi分别表示车辆i在t时刻的位置和速度，li表示车身长度，车辆i和j之间的净距离sij=xj-xi-li，速度差Δvij=vi-vj。因此，车辆i的动力学行为可以表示为：

式中，v0表示车辆在自由流下的速度；s0表示车辆之间在拥塞流下需要保持的最小净距离；T表示针对于前方车辆的反应滞后时间(time headway)；a和b分别表示加速度和减速度；参数δ在实验中经常设置为4。

在任意密度的车流量平衡态下(vi=0，Δvij=0)，车辆i与前方车辆j之间的净距离则可表示为一种与速度相关的形式，即：

1.2 信道模型

按照IEEE 802.11p的规定，车载自组网使用频率5.9 GHz(欧洲和日本为5.8 GHz)的无线电波通信，由于干涉作用，车辆i接收车辆j的信号强度会随着二者之间距离的改变而变化，称之为信号衰落，表示为β(i,j)，这种现象可建模为阴影衰落模型[15]，即：

式中，β1(i,j)表示与距离相关的效应；β2代表衰减效应，表示为一个均值为0，方差为σ的标准正态分布(在实验中，α为路径损失系数，依赖于具体的通信环境和地面状况，一般在开阔空间取2，在城市区域取6(在实验中，α=6)。因此，对于给定的衰减阈值βth(βth与节点通信半径有关)，车辆i和车辆j之间存在链路的概率可表示为：

1.3 媒质访问控制

媒质访问控制(media access control，MAC)是为了公平、有效地共享公用信道而设计的一种协调机制。目前广为采用的是载波监听多路访问(carrier sense multiple access，CSMA)方法，即需要发送数据包的节点先检测信道是否空闲，再决定是否发送。本文为考察MAC机制对无线蠕虫传播的影响，定义了一组规则以模拟MAC的核心工作原理。将所有车载节点按照ID大小顺时针放入一个环形列表中，每步迭代时，按顺时针方向选择一个处于有效状态的节点，标记为“允许发包”，表示该节点可以在此次迭代中发送数据。根据载波监听多路访问工作机制，按照式(8)得出的所有该节点的邻居节点将被禁止发包，处于失效状态，并标记为“禁止发包”；按顺时针方向，依次选择各有效节点，并按照上述规则标记其邻居节点，直至列表中的全部节点被标记为“允许发包”或“禁止发包”；之后，所有标记为“允许发包”的节点同时发送数据(可能是正常数据，也可能是含有蠕虫病毒的恶意数据)，而且不会产生信号碰撞，本次迭代结束；在下一次迭代中，继续按照顺时针方向选择下一个节点作为初始访问信道的节点。

1.4 蠕虫传播模型

本文考虑无线蠕虫通过多跳广播方式进行攻击。对于初始感染节点方式的选择，主要有随机感染(任意选择目标节点)和选择性感染(攻击节点度大的节点)两种方式。不同于固网中固定的节点度分布关系，VANETs各节点的连接度会随着车辆的移动而发生快速改变，因此，本文随机地选择一个节点作为初始感染节点，并依照1.3节规定的MAC规则传播蠕虫，每一个收到含有蠕虫病毒数据包的节点以λ概率被感染。目前，反病毒软件主要基于蠕虫特征进行检测，但是这种方法并不适用于未知蠕虫情况[6]。一般而言，当一种新的蠕虫出现时，软件供应商会提供相应的系统补丁或者升级病毒特征库，但是由于蠕虫传播速度很快，当补丁问世并被应用时，蠕虫已感染众多节点并已产生极大的破坏力。此外，本文并不准备考察抢先免疫和交互式补丁对蠕虫传播的影响，所以任意车辆均会处于易感染(vulnerable)或者已感染(infected)状态。已感染节点会在每次获得信道访问权后，向其所有邻居节点发送含有蠕虫病毒的数据包，而易感染节点收到这种数据包后会以λ概率转变为已感染状态。本文使用I(t)和I*(t)分别代表处于已感染状态的车辆总数及其百分比。

2 实 验

2.1 静态网络

本文使用VanetMobiSim生成N辆车分布在1 000 m×1 000 m双向双车道的城市场景。所有车辆的传输半径均被设置为R，速度被设置为介于相同最小速度m和相同最大速度M之间的一个随机速度。平均场理论预测感染概率存在着一个临界点λc=1/ákñ，文献[16]得到的临界点是0.012 7，但该值在实际环境中会受到拓扑和信道竞争等因素的影响而有所波动，因此本文参考文献[18]考虑3个典型的感染概率λ=0.01，0.05，0.1。一旦场景文件按照如上配置生成，将根据式(8)计算任意两点i、j之间的连接概率p(i,j)，从而得到车载网络拓扑连接关系的快照。实际上，由于车辆的快速移动，车载自组网表现出高度的动态性，但是在平衡流态下，拓扑发生改变的时间跨度要远大于蠕虫传播的时隙[12]。

在静态网络传播实验里，采用蒙特卡洛(Monte Carlo)方法，先随机感染一个节点，然后按照1.3节和1.4节定义的规则进行传播，直至达到模拟时间。10次随机选择的初始感染节点的传播结果的平均值记为1次蒙特卡洛实验结果，最终的传播结果为100次蒙特卡洛实验的平均值。

传输半径对蠕虫传播的影响如图1所示，半径值从典型Wi-Fi系统的最小值30 m变化到最大值100 m。在传输半径较大场景中(≥50 m)，无论感染概率多小，蠕虫在初始阶段均表现出线性增长态势，而且传播速度也随着传输半径的扩大和感染概率的升高而加快。

图1 静态网络下，N=100，m=6 m/s，M=15 m/s时，传输半径R对已感染车辆数I(t)的影响

移动速度对蠕虫传播的影响如图2所示。与图1中的传播情况类似，图中的所有曲线在初始阶段也表现出线性增长趋势，而且，传播速度会随着车辆的加速而加快，但是当感染概率较低(λ=0.01)时，3种车流态下，蠕虫均不会感染整个网络；当感染概率较高时，即便在拥塞态下，蠕虫最终也传播至整个网络。在该实验中，考虑到即便在拥塞态下，车辆的速度也不会始终保持在一个固定值，因此本文给每个车辆赋予一个介于相同最小速度和相同最大速度之间的一个随机速度，而不是以往工作中常采用的固定平均速度。

图2 静态网络下，N=100，R=50 m时，最小速度m和最大速度M对感染车辆数I(t)的影响

已感染节点比例在不同节点密度下随着时间变化的曲线如图3所示。从图中可以看出，所有节点密度对应的高感染概率情况都会导致大规模的蠕虫传播，但令人惊讶的是，对于给定的感染概率而言，蠕虫传播速度会随着节点密度的增加而放缓，即为感染相同比例的车辆节点，在高密度网络中蠕虫传播需要花费比低密度网络更长的时间，这一现象主要是因为在不同的节点密度下，该实验初始时均会只选取感染一个节点而引发的。但是，在高节点密度下，蠕虫会最终传播至整个网络，但对于相同的感染概率，蠕虫在低密度网络中，只能感染部分节点。

图3 静态网络下，R=50 m，m=1 m/s，M=5 m/s时，节点密度对已感染车辆比例I*(t)的影响

最后考察MAC机制。实验所有场景中具有MAC机制和没有MAC机制对无线蠕虫传播的影响如图4所示。没有MAC机制的场景意味着一种理想情况，所有的邻近车辆均可以自由地访问信道而不会产生干扰，如采用蓝牙通信方式。从各子图中可以明显看出，在各场景下，忽略MAC机制均会加速无线蠕虫的传播，得出与实际传播结果相悖的结论。

图4 静态网络下，MAC机制对已感染车辆比例I*(t)的影响

2.2 动态网络

动态网络中传输半径在不同感染概率下对蠕虫感染数的影响如图5所示。对比图1和图5可知，传输半径在静态网络和动态网络下对无线蠕虫的扩散具有相同的影响，即传播速度随着半径的扩大而加快，但是可以发现，对于相同的传输半径和感染概率，无线蠕虫在动态网络里的传播速度快于在静态网络里。如对于传播速度最快的场景(R=100 m，λ=0.1)，静态网络大概需要100次传播才能感染全部节点；而动态网络只需约40次即可完成。另外，对于传播速度最慢的场景(R=30 m)，蠕虫在静态网络中无法感染整个网络，但在动态网络中却有机会感染全部节点，这主要是因为车载节点的移动使得蠕虫有机会从一个孤岛传播至另一个孤岛，减弱了车辆孤岛造成的蠕虫受限传播的影响。

动态网络里的移动速度对蠕虫传播的影响如图6所示。对比图2和图6可以看出，速度的大小对蠕虫扩散的影响也是相同的，但是在各种速度和感染概率组合的场景下，蠕虫在静态网络中的传播速度均快于动态网络，且更易于达到稳态。如图2中的各条曲线显示出，在静态网络的各种速度下，蠕虫均会在100次传播以内趋于稳定；而在动态网络中，蠕虫在多数速度与感染概率组合场景中的传播均未在模拟时间内达到稳定，即便在速度最慢的情形下(v=1～5 m/s)。被感染的节点数一直呈现上升趋势，这是因为静态网络的节点位置保持不动，节点间的链路稳定，便于蠕虫快速传播至最大范围(稳定值)。

图5 动态网络下，N=100，m=6 m/s，M=15 m/s时，传输半径R对已感染车辆数I(t)的影响

动态网络中的节点密度对蠕虫传播的影响如图7所示。与图3初始阶段节点密度小传播快的现象相反，在动态网络里，对于相同的感染概率，蠕虫在高节点密度情况下的传播速度快于低密度情况，但是在蠕虫传播趋于稳定后，两种网络反映的现象是一致的，即无线蠕虫在高节点密度网络下可以扩散得更广。

图6 动态网络下，N=100，R=50 m时，最小速度m和最大速度M对感染车辆数I(t)的影响

图7 动态网络下，R=50 m，m=1 m/s，M=5 m/s时，节点密度对已感染车辆比例I*(t)的影响

3 结 论

分析了车辆的移动模式、通信信道、竞争资源和蠕虫传播等方面的特点，并给出了相关的数学模型和模拟规则。通过大量的蒙特卡洛实验和模拟仿真实验，给出了无线蠕虫在城市场景静态网络和动态网络下不同车辆流态(拥塞态、正常态、自由态)的传播结果，揭示了传输半径、移动速度、节点密度、MAC机制和感染概率对蠕虫传播的影响，并分析了造成这些影响的原因，讨论分析了理论值与实际值的关联性及其导致二者局部差异的原因。

[1] KLEINBERG J. The wireless EPIDEMIC[J]. Nature, 2007,449(7160): 287-288.

[2] TANACHAIWIWAT S, HELMY A. Encounter-based worms:Analysis and defense[J]. Ad hoc Networks, 2009, 7(7):1414-1430.

[3] 熊永平, 孙利民, 牛建伟, 等. 机会网络[J]. 软件学报,2009, 20(1): 124-137.XIONG Yong-ping, SUN Li-ming, NIU Jian-wei, et al.Opportunistic networks[J]. Journal of Software, 2009, 20(1):124-137.

[4] COULL S E, SZYMANSKI B K. On the development of an internetwork-centric defense for scanning worms[J].Computers & Security, 2009, 28(7): 637-647.

[5] STEPHENSON B, SIKDAR B. A Quasi-Species model for the propagation and containment of polymorphic worms[J].IEEE Transactions on Computers, 2009, 58(9): 1289-1296.

[6] WANG J, LIU Y H, TIAN D X, et al. Internet worm early detection and response mechanism[J]. Journal of China Universities of Posts and Telecommunications, 2007, 14(3):79-84.

[7] RHODESA C J, NEKOVEE M. The opportunistic transmission of wireless worms between mobile devices[J].Physica A, 2008, 387(27): 6837-6844.

[8] HU H, MYERS S, COLIZZA V, et al. Wi-Fi epidemiology:Can your neighbors router make yours sick?[J]. Proceedings of the National Academy of Sciences, 2009, 106(5): 1318-1323.

[9] SCNEWS. Lexus computers infected Via bluetooth[EB/OL].[2005-01-26]. http://it.slashdot.org/it/05/01/26/188224.shtml?tid=220&tid=172&tid=193&tid=190&tid=218.

[10] WANG Pu, GONZÁLEZ M C, HIDALGO C A, et al.Understanding the spreading patterns of mobile phone viruses[J]. Science, 2009, 324(5930): 1071-1076.

[11] KHAYAM S, RADHA H. Analyzing the spread of active worms over VANET[C]//Proceedings of ACM International Workshop on Vehicular Ad hoc Networks.Philadelphia, PA, USA: ACM, 2004.

[12] NEKOVEE M. Modeling the spread of worm epidemics in vehicular Ad hoc networks[C]//IEEE Vehicular Technology Conference. Montréal, Canada: IEEE Press, 2006.

[13] CHENG L, SHAKYA R. Worm spreading and patching in inter-vehicle communications[J]. International Journal of Communication Networks and Information Security, 2010,2(1): 50-53.

[14] TREIBER M, HENNECKE A, HELBING D. Congested traffic states in empirical observations and microscopic simulations[J]. Physical Review E, 2000, 62(2): 1805-1824.

[15] RAPPAPORT T. Wireless communications, principle and parctice[M]. Englewood Cliffs: Prentice-Hall, 2000.

[16] NEKOVEE M. Worm epidemics in wireless Ad hoc networks[J]. New Journal of Physics. 2007(9): 189.