SDN环境下的动态随机网络病毒传播模型及特性研究

刘 ,,

(1.广东技术师范学院 电子与信息学院,广州 510655; 2.深圳赛宝工业技术研究院有限公司,广东 深圳 518071)

0 概述

高速发展的互联网以及无处不在的互联互通使得网络空间安全成为一项关系到世界安全与稳定的国际性问题。网络互通有其优势,也同时为攻击者在全球网络的任意地点探测网络漏洞并发起攻击提供了方便之门。

软件定义网络(Software Defined Networking,SDN)[1]作为一种全新的网络架构,其安全性逐渐为网络空间安全领域发展热点和研究方向。SDN采用全局视图,并通过控制器进行集中控制,这使大数据环境下的网络流量管理、入侵防御和隔离控制等变得容易,降低了管控难度。但SDN网络的集中架构也将给网络安全带来更大的风险[2]。随着SDN网络的安全应用的不断开发,信息安全领域中机遇与挑战并存[3-5]。一旦网络病毒在部分网络上传播,由于SDN的动态性和集中架构,可能对整个网络造成影响。为此,本文采用复杂网络的动力学模型描述异质性网络中的病毒传播过程,对SDN网络中的病毒路线进行溯源,进一步细化SDN管控机制,并使用随机模型作为初始模型。

1 研究背景

因为SDN网络控制与转发分离的思想,各类开放的应用程序将带来的漏洞和由此产生的攻击不可避免[6-7],文献[8]对SDN网络的安全现状进行了分析,提出在SDN控制器上应建立异常检测平台,将收集的统计信息提供给异常检测模块使用。当发现异常时,应用程序将发出警报,采取相应措施并进行记录。文献[9]提出由SDN网络的控制器提供开发和部署安全应用的框架,管理员通过模块方式实现不同的异常检测。文献[10]分析云计算和SDN技术环境下的恶意代码攻击检测技术,提出相应的检测实验平台进行仿真处理。在各类安全事件中,网络病毒以其传播速度快、影响范围大和渗透力强等特点居于互联网安全问题的首位。目前SDN网络中第三方开发的应用软件均为不开源的,传统的基于源码的检测方式不再合适,这使得针对网络病毒的SDN网络攻击检测和防范成为了一个公开的问题。

网络病毒传播网络和其他社团网络一样是具有动态性的复杂网络,移动节点和移动介质在计算机网络中的广泛应用,使得网络病毒在不同子网之间得以传播。以前人们在网络病毒传播网络的研究中主要集中在静态复杂网络上,传统的防病毒、防火墙等技术都是静态安全防御技术,主要依赖于人工配置管理,对于大规模网络的管理和部署难度很大,当新的网络病毒出现时,很难掌握其规律,这给网络病毒检测造成了很大的困扰。

近年来,为了突破现有网络架构的制约,研究效率更高、效果更好的网络病毒防治技术,研究者们开始关注SDN的网络病毒检测方法。文献[11]在复杂网络中引入了一个有效的传染病传播理论模型,其研究工作为研究网络病毒在SDN网络中的传播特性提供了新的思路。文献[12]在改进的SDN架构上研究低通信开销的网络病毒检测方法。文献[13]提出一个无标度网络中恶意代码的传播模型,采取动态隔离疑似感染节点的方法来实现恶意代码的检测和防护。实验结果表明,可以通过调节系统感染结点可疑度的阈值,达到控制恶意代码传播的效果。文献[14]研究表明,网络拓扑对网络病毒传播速度是有影响的,越是处于网络中心的网络病毒传播速度越快,而且处于中心的网络节点重复感染的概率也较大。SDN的控制器能够进行权限管理和应用隔离,从而实现网络逻辑控制。当新的网络病毒在某个子网爆发时,控制器可以根据网络状态改变流表策略,控制网络病毒传播到别的子网中去。本文分析SDN网络环境中网络病毒传播模型及动态随机网络中病毒传染的免疫策略,从而有效防御网络病毒传播。

2 数学模型

网络病毒的传播与生物疾病的传播具有相似性,可以采用相似模型来研究其传播特性[15]。这类模型有2个假设前提:1)网络内节点在任意的时刻t的状态是有限的,状态包括易感、潜伏、感染、恢复和隔离等,根据网络病毒的特性和建模目的不同,可以选择不同的状态集;2)感染类的节点会以一定概率感染网络中的其他节点,采用简单的概率关系来分析状态之间的转化。

这些数学模型一般以SIR(Susceptible、Infected、Recovery)模型或者简化的SIS(Susceptible、Infected、Susceptible)模型为基础的。SIR模型采用3个状态,即易感S(Susceptible)、感染I(Infected)和恢复R(Recovered),通过3个状态之间的转化及相互影响来分析网络中病毒的传播特性。其中,确定型模型比较适合描述易感节点数目很大情况,而随机型模型用来分析易感节点数目小的平均传播过程。因为计算机网络中节点因为自身的防护及各种安全措施,易感节点的数目不大,所以本文采用随机模型来研究SDN架构下节点的逻辑移动给网络病毒传播带来的趋势影响。

2.1 模型假设

在计算机网络中,不同的节点分属于不同的子网,子网的规模和网络病毒感染情况以及网络安全的防护措施存在着差异。在本文中以网络拓扑的逻辑子网作为社团划分依据,网络病毒在子网内部的传播速度比较快,而在不同的子网之间传播缓慢。为了简化模型,本文认为不同的子网之间网络病毒不能传播,也就是不同社团间的节点不存在感染路径。由于SDN网络对逻辑路由的灵活控制,当节点从一个子网转移到另外一个逻辑子网时,会将网络病毒扩散到目标子网。

为了简单明了并如实反映节点的转移对网络病毒传播的影响,本文建立模型前先做一些模型假设。

模型假设:

1)易感节点数N是一个常数,不随时间t的变化而变化,即没有新的易感节点进入或离开整个系统。

2)节点仅2个状态:易感S和感染I,某一时刻t节点处于其中之一,不能再次感染已经感染的主机。初始感染主机数为I(0)=I0。

3)不同的子网之间网络病毒不能传播,也就是不同社团间的节点不存在感染路径。

数学模型中假设t时刻易感节点有kinf个感染连边节点,每个易感节点被连边的感染节点感染的概率为λ。t+1时刻易感节点被感染的概率为1-(1-λ)kinf。同时,因为网络中有的节点可以通过防火墙技术、打补丁、病毒查杀以及安装内容过滤器等方式使得感染节点从被感染状态I恢复成易感状态,本文假设某时刻节点的恢复率为μ。

2.2 模型设立

在模型的假设基础上,可以构建一个动态随机网络病毒传播模型。在此模型上,本文研究节点在子网间的转移对网络病毒传播的影响[11]。

1)N个易感主机依概率ni(i=1,2,…,m)分属于m个不同的子网:

2)对于这m个子网,本文以pi的概率在节点间加边来构造网络,使其满足式(2):

其中,是整个随机网络的平均度。

3)当感染节点从一个子网迁移到另外一个逻辑子网时,会将网络病毒扩散到目标子网。本文假设每个节点j(j=1,2,…,N)以概率从一个子网迁移到另一个子网。在每一个时间步,删除社团之间的所有边,并以迁移率q表示社团节点之间的连边概率来描述动态传播过程。

3 实验结果与分析

为了比较不同情况中网络病毒在动态随机网络中的传播特性,采用相同的实验环境,初始感染主机数I(0)=1,网络节点数N=2 000,为了研究的简便性,设置m=2,n1=800,n2=1 200,=40,连边数最大可以为n1×n2=960 000条,根据式(1)和式(2)得到p1=0.020 6,p2=0.046 4。

图1 节点感染率ρ(t)对t的函数

其中,a=λ〈k1〉-μ,b=λ〈k1〉,且:

其中,ρ1(0)表示t=0的时刻子网内网络病毒感染率,显然在这个简单模型中,ρ1(0)=1/n1。当在时间t时,社团子网2中节点感染的概率为n1ρ1(t)n2qλ,其中,ρ1(t)表示第t步社团子网1中感染节点数密度,q是社团子网1中任意节点与社团子网2中节点的连边概率,λ是整个系统中这类网络病毒的感染概率。假设社团子网2内的节点在时间tc被感染的概率为1,可以得到:

(6)

由式(6)可得:

因此,可以求得社团子网2的病毒爆发时间:

其中,t0=lnc/a表示社团子网2中感染节点数目从1增加到稳定值的中间时刻。

为了检验上述理论分析值,本文通过实验来模拟获得数据。Tc为社团子网2中感染节点数目达到稳定值的一半的中间时刻。本文取不同的λ值0.04和0.01,当转移概率q=0.000 001～0.000 01发生变化时,获得如图2所示的2条函数曲线。这2条曲线分别代表不同λ值0.04和0.01取值情况下,式(8)的Tc值。比较得知,数值模拟与理论结论是一致的。

图2 网络病毒爆发时间与迁移率的关系

图3为在不同的转移概率q=0.000 1和q=0.000 01的情况下,社团子网1和社团子网2内节点感染率ρ(t)的演化函数曲线。星号点曲线表示社团子网1,圆圈点曲线表示子网2。由图3(a)可以看出,当q=0.000 1时,大概在t为60时,网络病毒在社团子网2内爆发。由图3(b)可以看出,当q=0.000 01时,社团子网2和社团子网1中病毒都不会爆发。

图3 感染节点密度的演化曲线

又由式(7)和式(9),取t1=t时q=qc,得:

由式(5)获得c值。

在多组实验中,分别取I(0)= 50～100,并取λ=0.003～0.006,然后从0开始逐渐加大迁移率q的取值。当迁移率增加到转移阈值qc时,网络病毒在社团子网2中爆发。对每个组I(0)和λ的取值,本文进行100次实验并取平均值。实验结果如图4所示,圆圈点和星号点分别代表I(0)= 50和100的实验结果,实线代表根据式(10)计算所得的理论值。实验结果表明,对于某个特定的λ值,迁移率阈值qc与社团子网1中的初始感染数I(0)成反比。而对于某个特定的I(0)值,qc值随着感染率λ的增加而迅速减小。当I(0)= 100时,随着λ从0.003增加到0.006,qc值迅速从1.8×10-4减少到7.8×10-5。数值仿真实验证实了式(10)的理论值。

图4 迁移率阈值与感染率的关系曲线

4 结束语

本文提出一种SDN环境下的动态随机网络模型,以网络拓扑的逻辑结构作为社团划分依据,采用随机模型研究网络病毒在节点迁移时的传播情况。实验结果表明,当社团间节点迁移率q大于迁移阈值qc时,网络病毒会在社团子网间扩散和传播,这为SDN控制器管理策略的设置提供理论参考。由于实际的SDN网络环境更类似于无标度网络,后期研究将先从建立网络病毒在无标度网络模型中的模拟实验开始,分析不同标度网络节点的迁移率与网络病毒传播之间的数据关系,从而进一步研究其理论模型。