SDN环境下的动态随机网络病毒传播模型及特性研究

1、sdn环境下的动态随机网络病毒传播模 型及特性研究刘兰任光明林军广东技术师范学院电信学院工业和信息化部电子第 五研宄所摘要：sdn网络作为一种新型的架构，其安全性成为网络空间安全领域发展热点和研 究方向。复杂网络的动力学模型能描述异构网络中网络病毒的传播过程，为了分 析sdn网络环境中网络病毒传播模型及动态随机网络中网络病毒传播的免疫策 略，我们提出一个动态随机网络模型，研究模型屮网络病毒随子网间节点迁移 而扩散及爆发的过程，通过理论分析和数值模拟，我们发现网络病毒从源子网 传播到目标子网的传播特性与子网间节点的迁移率相关。通过分析表明，当迁移 率q大于迁移阈值叩时，网络病毒会在社团子网间扩散

2、和传播开。研宄结果为 sdn控制器制定管控策略防御网络病毒传播，减少网络安全事件发生提供理论 依据。关键词：网络安全;软件定义网络;网络病毒;社团;随机网络;辻移率;作者简介：刘兰（1977-）,女，副教授、傅士，主研方向为网络工程、信息安 全；作者简介：任光明，副教授、博士；作者简介：林军（通信作者），高级工程师、硕士。收稿日期：基金：国家自然科学基金-基于sdn的信息中心网流量优化的关键技术研究 （61571141）项目资助research on network virus spreading in time-varying community networks in sdn enviro

3、nmentliu lan ren guangming lin junguangdong polytechnic normal university schoolof electronic and information engineering; china electronic product reliability and environmental testing research institute;abstract：software defined networking (sdn) as a new type of network architecture, its security

4、has become a hot spot and research direction in the field of network space security. dynamics model of complex networks can be used to describe the propagation of network virus in a heterogeneous network. in order to study the spreading processes of many network viruses in sdn network model, we pres

5、ent a simple dynamic model with time-varying community structure. we investigate susceptible-infected-susceptible (sis) spreading processes in this model. by both theoretic analysis and numerical simulations, we found that the efficiency of network virus spreading in this model depends on the mobili

6、ty rate q of the nodes between subnets associated nodes. we also find that there exists a mobility rate threshold qc. the network virus will spread in the network when the mobility rate q > qc. the network virus will survive when q > qc and die when q < qc. these results can help to decide

7、the sdn control strategy of defense network virus and provide a theoretical basis to reduce network security incidents.keyword：network security; software defined networking; network virus; community; time-varying network; mobility rate;received：0概述高速发展的互联网无处不在的互联互通使得网络空间安全成为一项关系到世界 安全、稳定的国际性问题。这种高度的

8、网络互通有艽显而易见的优势，但也冋吋 为攻击者在全球网络的任意地点探测网络漏洞并发起攻击提供y方便之门。sdn （software defined networking,软件定义网络）1作力一种全新的网络 架构，其安全性逐渐为网络空间安全领域发展热点和研宄方向。sdn采用全局视 图，并通过控制器进行集中控制，这将大数据环境下的网络流量管理、入侵防御 和隔离控制等变容易，降低了管控难度。但sdn网络的集中架构也将给网络安全 带来更大的风险2。随着sdn网络的安全应用的不断开发，信息安全领域屮机 遇与挑战并存3-5。我们考虑采用复杂网络的动力学模型来描述异质性网络中 的网络病毒传播过程，进一步细化

9、有关的机制。而且，网络安全的实际工作过程 中，各类网络病毒检测系统积累了大量的检测数据，在sdn的集中控制架构下， 能较方便的做到数据的收集和整理，我们通过对相关数据进行挖掘和理论研究， 为制定更加有效的网络病毒检测和控制策略提供依据。1研宄背景因为sdn网络控制与转发分离的思想，各类开放的应用程序将带来的漏洞和由 此产生的攻击不可避免6-7，左青云等8对sdn网络的安全现状进行了分析， 提出在sdn控制器上应建立异常检测平台，将收集的统计信息提供给各异常检 测模块使用。当发现异常时，应用程序将发出警报，采取相应措施并进行记录。 shin等9提出由sdn网络的控制器提供开发和部署安全应用的框架

10、，管理员通 过模块方式实现不同的异常检测。wang等10分析了云计算和sdn技术环境下 的恶意代码攻击检测技术，提出相应的检测实验平台da mask进行仿真处理。在 各类安全事件屮，网络病毒以其传播速度快、影响范围人和渗透力强等特点居于 互联网安全问题的首位。目前sdn网络中第三方开发的应用软件均为不开源的， 传统的基于源码的检测方式不再合适，这使得针对网络病毒的sdn网络攻击检 测和防范成为了一个公开的问题。网络病毒传播网络和其他社团网络一样是具冇动态性的复杂网络，移动节点和 移动介质在计算机网络屮的广泛应用，使得网络病毒在不同子网之间得以传播。 以前人们在网络病毒传播网络的研宄中主耍集中在

11、静态复杂网络上，传统的防 病毒、防火墙等技术都是静态安全防御技术，主要依赖于人工配罝管理，对于大 规模网络的管理和部署难度很大，当新的网络病毒出现时，很难掌握其规律， 这给网络病毒检测造成了很大的困扰。近年来为y突破现有网络架构的制约，研宄效率更高、效果更好的网络病毒防治 技术，研宄者们开始关注sdn的网络病毒检测方法。ren等11在复杂网络中引 入了一个有效的传染病传播理论模型，其研宄工作为研宄网络病毒在sdn网络 中的传播特性提供了新的思路。lin等人12在改进的sdn架构上研究低通信开 销的网络病毒检测方法。hosseini s13等提出了一个无标度网络中恶意代码的传播模型，采取动态隔离

12、疑似感染节点的方法来实现恶意代码的检测和防护。其 实验结果表明可以通过调节系统感染结点可疑度的阈值，达到控制恶意代码传 播的效果。bradley14等研究表明网络拓扑对网络病毒传播速度是冇影响的， 越是处于网络屮心的网络病毒传播速度越快，而且处于屮心的网络节点重复感 染的概率也较大。sdn的控制器能够进行权限管理和应用隔离，从而实现网络逻 辑控制。当新的网络病毒在某个子网爆发时，控制器可以根据网络状态改变流表 策略，控制网络病毒传播到别的子网中去。木文通过分析sdn im络环境中im络病 毒传播模型及动态随机网络中病毒传染的免疫策略，从而冇效防御网络病毒传 播。2模型网络病毒的传播与生物疾病的

13、传播具有相似性，可以采用相似模型来研宄其传 播特性15。这类模型有两个假设前提：(1)网络内节点在任意的时刻t的状态 是有限的，状态包括易感、潜伏、感染、恢复和隔离等，根据网络病毒的特性和 建模目的不同，可以选择不同的状态集；(2)感染类的节点会以一定概率感染 网络中的其它节点，采用简单的概率关系来分析状态之间的转化。这些数学模型一般以sir模型(susceptible、infected、recovery)或者節化 的 sis 模型(susceptible、infected、susceptible)为基础的。sir 模型采用 三个状态：易感 s (susceptible)、感染 i (infe

14、cted)和恢复 r (recovered), 通过三个状态之间的转化及相互影响来分析网络屮病毒的传播特性。其屮确定型 模型比较适合描述易感节点数目很大情况，而随机型模型用来分析易感节点数 目小的平均传播过程。因为计算机网络中节点因为自身的防护及各种安全措施， 易感节点的数目不大，因此我们釆用随机模型来研宄sdn架构下节点的逻辑移 动给网络病毒传播带来的趋势影响。2.1模型假设在计算机网络中，不同的节点分属于不同的子网，子网的规模和网络病毒感染 情况以及网络安全的防护措施存在着差异。在本文中我们以网络拓扑的逻辑子网 作为社团划分依据，网络病毒在子网内部的传播速度比较快，而在不同的子网 之间传播

15、缓慢。为了简化模型，我们认为不同的子网之间网络病毒不能传播，也 就是不同社团间的节点不存在感染路径。由于sdn网络对逻辑路由的灵活控制， 当节点从一个子网转移到另外一个逻辑子网时，会将网络病毒扩散到目标子网。为了简单明了并如实反映节点的转移对网络病毒传播的影响，我们建立模型前 先做一些模型假设。模型假设：(1) 易感节点数n是一个常数，不随时间t的变化而变化，即没有新的易感节点 进入或离开整个系统；(2) 节点仅两个状态：易感s和感染i，某一时刻t节点处于其中之一，不能再 次感染己经感染的主机；初始感染主机数为t (0) =t0;(3) 不同的子网之间网络病毒不能传播，也就是不同社团间的节点不

16、存在感染 路径。数学模型中假设t时刻易感节点有个感染连边节点，每个易感节点被连边的 感染节点感染的概率为x。t+1时刻易感节点被感染的概率为1- (1-x) info 同时，因为网络中有的节点可以通过防火墙技术、打补丁、病毒查杀以及安装内 容过滤器等方式使得感染节点从被感染状态t恢复成易感状态，我们假设某时 刻节点的恢复率为u。2.2模型设立在模型的假设基础上，可以构建一个动态随机网络病毒传播模型。在此模型上， 我们研究节点在子网间的转移对网络病毒传播的影响11。(1) n个易感主机依概率rh (i=l, 2，.，m)分属于m个不同的子网：(2)接下来，对于这m个子网，我们以的概率在节点间加边

17、来构造网络，使 其满足公式2:其中k是整个随机网络的平均度。(3)当感染节点从一个子网迁移到另外一个逻辑子网时，会将网络病毒扩散到 目标子网。我们假设每个节点j (j=l, 2n)以概率从一个子网迁移到另一个 子网。在每一个吋间步，删除社闭之间的所冇边，并以迁移率q表示社闭节点之 间的连边概率来描述动态传播过程。在模型中，我们设定一个病毒传播阈值x,，当xx(时，某类病毒会在网络中爆发。在随机网络病毒传播模型中，。某个社团i子网内部的病毒传播阈定义为:我们假设初始感染节点数为i (0) =1,即开始时只有一个感染节点，此节点位于社团i,那么当 时，网络病毒将在社团子网i内部传播爆发，而不会影

18、响到其他不同的社团子网。因为sdn网络架构下实现网络节点(伍括移动设备、各类网络设备和主机)的逻 辑网络的重定向，因此社闭子网间存在着节点的转移，即社闭间节点的转移概率q0。当(i=, 1, 2(43) m)时，即使整个系统中初始感染节点为1,经过足够的时间，网络病毒会在整个网络中传播开，而网络病毒的爆发时间与转移概率q相关。我们再讨论的情况，引入迁移率阈值q。，当转移概率qq。时，网络病毒会在网络中传播开。3实验及分析图1不同转移率q下，子网1和2中节点感染率p (t)对t的函数 下载 原图 为了比较不同情况中网络病毒在动态随机网络中的传播特性，采用相同的实验 环境，初始感染主机数i (0)

19、 =1，网络节点数n=2000，为丫研宄的简便性，设 置m=2，ni=800, n2=1200, <k>=40,连边数最大可以力ni*n2=960000条，根据公 式 1 和公式 2 得到 p,=0. 0206，p2=0. 0464。假设某时刻节点的恢复率为p =0.1，由公式3,计算可得。实验中,我们随机选取社团子网1中的某个节点为感染初始节点，社团1分別取转移概率 q=0. 000001到0. 00001向子网2进行迁移。图1表示在不同的转移概率下，社 团子网闪节点感染率p (t)为时间t的曲线函数。从图屮可以看出，网络病毒 首先在社团子网1中爆发，然后逐渐感染社团子网2。转移

20、概率越大，则子网2 内病毒爆发的时间越短。因为子网1内病毒爆发的感染演化函数与迁移率关系不 大，因此我们仅用q=0. 00001的曲线来表示各种不同的情况。图中的迁移率取值 主要依据实验和经验值来获得。深入理解m络病毒传播的时间演化过程是寻找防 止病毒爆发的管控策略的先决条件，因此，根据实验结论，由于 ，只有社团子网1中的某个感染节点依转移概率转移到社团子网2,病毒才可能在子网 2中传播。在每个时间步骤中，从社团子网1转移到社团子网2的感染节点的数目为 ，其屮p: (t)表示在t吋刻社闭子网1内的感染率。q表示社闭间的迁移率，&表示社团子网1中的节点数目。根据平均场理论，满足公式。式屮

21、p: (t)表示网络屮节点感染率；u表示感染节点的恢复概率；入 表示易感节点跟一个感染节点和连时的感染概率;方程右边-p p (t)表示感染节点减少量，(hp! (t)表示易感节点密度，是一个易感点周围节点的数目，而是一个易感点周围感染节点的数目。根据乘法法则，是整个网络屮感染点的增加数。当时表示感染节点的增加，时表示感染节点数据增长率的临界值，由此可以化简为：p! (0)表示t=0的吋刻子网内网络病毒感染率，显然在这个简单模型中，p! (0) = l/nlo在时间步骤t，社团子网2屮节点感染的概率为ni pi (t) n2qx,其屮 p i (t)表示第t步社团1中感染节点数密度，q是社团1

22、中任意节点与社团2 中节点的连边概率，x是整个系统中这类网络病毒的感染概率。假设社团2内 的节点在吋间被感染的概率为1,可以得到：由公式6可得: 因此，我们可以求得社团子网2的病毒爆发时间公式: 其中t0=ln c/ a表示社团子网2中感染节点数目从1增加到稳定值的中间时刻。为了检验上述理论分析值，我们通过实验来模拟获得数据。t。为社团子网2中感 染节点数目达到稳定值的一半的中间时刻。我们取不同的x值0.04和0.01,当 转移概率q=0. 000001到0. 00001发生变化吋，我们获得图2所示的两条函数曲 线。这两条曲线分别代表不同入值0. 04和0. 01取值情况下公式8的t。值。比

23、较得知，数值模拟与理论结论是一致的。图2网络病毒爆发时间tc与迁移率q的关系图卜载原图在这种情况下，如果社团间的节点迂移率太低，那么网络病毒在爆发前就会在 社团子网1内部自动消亡了。而如果迁移率够高，那么网络病毒会转移到社团子网2。实验屮我们采用图1类似参数，但取1=0.005,其取值符合 ，在社团子网1内随机选取初始感染节点i (0) =100,计算可得，其中p: (0)，p2 (0)和p (0)分别表示社团子网1、社团子网2和整个社团屮的 病毒感染率。图3当a =0.005时，两个社团的感染节点密度的演化曲线。下载原图图3表示在不同的转移概率q=0. 0001和q=0. 00001的情况下

24、，社团子网1和社 团子网2内节点感染率p (t)的演化函数曲线。黑色曲线表示子网1，红色曲 线表示子网2。由图3 (a)我们可以看出当q=0. 0001时，大概在t为60时，网 络病毒在社团2内爆发。而由图3 (b)我们可以看出当00001时，社团2 和社闭1屮病毒都不会爆发。我们从理论上来分析一下，由于a<a£，所以存在某个时间点使得社团子 网1内的网络病毒最终死亡。那么只有在时间t-ti之前，有被感染的节点从社 团1迁移到了社团2，那么社团2内的网络病毒才有可能演化传播。根据公式4 当ei<0吋，p: (t，)会逐渐逼近于0。我们取一个极小数，比如本例中p: (tj

25、=0.0001，通过公式4解得：又由公式7和公式9,我们取,t=t时(1=心得:由公式5获得c值。在多组实验中，我们分别取i (0) =50到100，并取入=0. 003到0. 006,然后从 0开始逐渐加大迁移率q的取值。当迁移率增加到转移阈值q。时，m络病毒在社 闭子网2中爆发。对每个组t (0)和a的取值，我们进行100次试验并取平均 值。试验结果如图4所示，闢圈点和星号点分别代表i (0) =50和100的实验结 果，横线代表根据公式10计算所得的理论值。实验表明对于某个特定的a值， 迁移率阈值cr与社团子网1中的初始感染数i (0)成反比。而对于某个特定的 i (0)值，仏值随着感染

26、率入的增加而迅速减小。例如，当i (0) =100时，随 着人从0. 003增加到0. 006, q。值迅速从1.8x10减少到7. 8x10。数值仿真实 验证实了公式10的理论值。图4迁移率阈值qc与感染率a的关系曲线，实线为理论值，点线为数值模拟 结果 下载原图4结束语本文提出一个sdn环境下的动态随机网络模型。这个模型可以用于sdn架构环境 中网络病毒分析和防护，模型中将网络子网作为社团考虑，子网内部为静态社 团，而子网之间为动态社团。研究发现当源子网中感染网络病毒的节点(移动设 备或移动介质)移动到没有网络病毒感染的a标子网时，有可能使源子网屮的 网络病毒在目标子网中扩散和传播，其传播

27、和扩散待性与子网间的节点迁移率 和关。sdn的控制器可以进行应用隔离和权限管理，我们通过分析社团间的节点 迁移率对网络病毒在源子网和目标子网的感染情况和爆发时间的影响，可以釆 取动态隔离疑似感染节点和修改网络路由及权限策略的方式来降低和避免网络 病毒的传播。对sdn控制器的管理策略的设置提供理论参考模型。由于实际的sdn网络环境更类似于无标度网络，从理论上分析，sdn网络中不同 位置的节点对网络病毒传播的影响是不同，中心节点的感染节点的迁移对网络 病毒传播的影响会更大，但其模型的建立也会更加复杂。因此在未来的研究中， 我们将进一步研宄无标度网络或者其他更复杂的网络模型屮网络病毒传播的特 性和防

28、护策略。研宄将先从建立网络病毒在无标度网络模型中的模拟实验开始， 先分析不同标度的网络节点的迂移率与网络病毒传播之间的数据关系，进一步 寻求其理论模型。参考文献1 张朝昆，崔勇，唐翯祎，吴建平.软件定义网络(sdn)研究进展j.软件学 报，2015, 26 (1) : 62-81.2 赵涛，李韬，孙志刚，等.refine:种可重构的sdn转发平面实现模型j. 小型微型计算机系统，2015，36 (10) : 2284-2288.3 adnan akhunzada, ejaz ahmed, abdul lah gani, et al. securing software defined netw

29、orks:taxonomy, requirements, and open issuesj. ieee communications magazine, 2015 april:37-444 王蒙蒙，刘建伟，陈杰，等.软件定义网络:安全模型、机制及研究进展j. 软件学报，2016，27 (4) : 969-992.5 .郭春梅，张如辉，毕学尧.sdn网络技术及其安全性研究j.信息网络安全, 2012 (8) :112-114.6 changhoon yoon, tacjunc park, scungsoo lee, ct al. enabling security functions with sdn:a feasibility studyj. computer networks, 2015 (85) :19-357 .赵明宇，严学强.sdn和nfv对未来移动通信网络的影响分析j.电信网技 术，2015 (4) :3卜35.8 左青云，张海粟.基于open flow的sdn网络安全分析与研究j.信息网络安 全，2015 (2) : 26-32.9 shin s, porras p, yegneswaran v, et al. fresco:modular composable security services for software-defined networ