计算机病毒的传播模型及其求源问题分析

计算机病毒已构成计算机安全的一个重要组成部分， 作为计算机反病毒技术的重要补充，计算机病毒传播模型正被国内外的一些有前瞻性的专家和机构所重视。而当前的一些计算机病毒传播模型大都依据生物病毒的传播模型建立的，这些模型并不适合实际的计算机病毒的传播，基于此背景论文主要进行了如下的研究工作。
1 绪 论

计算机病毒已构成计算机信息安全的一个重要的组成部分，可是关于计算机病毒的研究都还集中在技术的层面。正如电脑的先驱者冯·诺伊曼所指出的数据和程序并无本质区别，病毒程序不易区分。面对层出不穷的计算机病毒，尤其是在现代的网络环境下，防治计算机病毒仅靠技术手段是不够的。应该研究计算机病毒的传播模型，把握病毒的传播规律，为从宏观的角度防御病毒提供理论支持。遗憾的是国内外关于计算机病毒传播模型的研究并不多，有限的几个计算机病毒传播模型也都依据生物病毒的传播模型建立的，这些模型并不太适合实际病毒的传播。
1.1 计算机病毒的概念、危害及当前的防治状况

1.1.1 计算机病毒的概念和基本特征

早在计算机病毒出现以前，计算机病毒的最初设想就已经存在，只是没能引起大家的理解和注意，也就是说计算机病毒并非是最近才出现的新产物。早在 1949 年，距离第一部商用电脑的现出仍有好几年，电脑的先驱者冯·诺伊曼（John VonNeumann）在他的一篇论文《复杂自动装置的理论及组织的进行》中就勾勒出病毒程序的蓝图。他指出数据和程序并无本质区别，如果不运行它或不理解它，则根本无法分辨出一个数据段和一个程序段。当时许多计算机专家都无法想象这种会自我繁殖的程序存在的可能性[1,2,3]。直到十年之后，在美国电话电报公司（AT&T）的贝尔（Bell）实验室中，这些概念在一种很奇怪的电子游戏中实现了，这种电子游戏叫做“磁芯大战”（Core War）。磁芯大战的玩法是对角的两方各写一套程序输入同一部计算机，这两套程序在电脑系统中互相追杀，当它被围住时，也可以复制自己以逃离险境，因为它们穿梭于内在的磁芯中，故得名“磁芯大战”。磁芯大战的编制者为Bell 实验室中 3 个年轻的程序员，其中有一个即是小莫里斯的爸爸大莫里斯。但由于那时的机器还没形成网络，只在单机上运行，故并没有产生太大的影响[4]。但即使如此，由于病毒的无穷繁殖，使得单机不堪重负而关机。因此长久以来懂得玩“磁芯大战”的电脑工作者都严守一项不成文的规定：严禁对普通大众公开大战程序的内容

1.2 国内外现有的计算机病毒传播模型概况

计算机病毒之所以被称为病毒，是因为它与生物病毒有许多相似之处。计算机病毒和生物病毒都具有循环复制功能。也都具有一定的编码方式，早期的计算机病毒大都是由机器语言编码，而现在有越来越多的计算机病毒采用高级语言编写；生物病毒是由核酸编码，当然也有少数是由氨基酸编码。它们大都具有破坏功能，在结构方式上计算机病毒是由指令程序存贮在物理介质上，而生物病毒是一种化学的固化方式[52,53,54]。正是由于计算机病毒与生物病毒的许多相似之处，人们才想到借助生物病毒的传播模型去建立计算机病毒的传播模型。

2 计算机病毒与生物病毒

计算机病毒之所以被命名为病毒，它必然与生物病毒拥有许多共同之处，这也是计算机病毒传播模型依据生物病毒传播模型建立的原因；但更重要的是还要看到计算机病毒拥有不同于生物病毒的传播特征，这些不同的传播特征预示着计算机病毒应该拥有自己的传播模型。

2.1 计算机病毒与生物病毒的相似性

一般认为病毒是具有一定生物学结构的最小的生命单位，病毒本身不能复制，它需要通过感染其他生物体的细胞，在相应的细胞内利用宿主细胞的某些功能实现自身复制和传播。生物病毒不仅是一种生物界普遍存在的现象，而且也是一种经历久远进化的生命机制。生物病毒在生物界极为常见，从细菌中的噬菌体丝（细菌的病毒）到以植物细胞为宿主的植物病毒[68]， 以及以人体细胞为宿主的艾滋病病毒（HIV）、各类癌病毒、乙肝病毒等表明生物病毒不仅是一种生物界普遍存在现象，而且是一种经历久远的生命进化机制。病毒是一类比细胞还小的非细胞形态的生物。与其他生物体相比，它的突出特点是[69]：

（1）个体极小。大多数的病毒都比细菌小得多，需要借助电子显微镜才能看见。细菌大小以微米表示，而病毒的大小则以纳米表示。

（2）寄生性。病毒没有独立的代谢活动。它们只能在特定的活的宿主细胞中繁殖，脱离宿主细胞便不能进行任何形式的代谢。在活体外不具有任何生命特征。

2.2 计算机病毒与生物病毒在传播特征上的主要差异

2.2.1 传播中的感染者接触方式差异

无论是生物病毒，还是计算机病毒，影响它们传播的关键因素之一都是它们宿主间进行传播的接触方式。对接触方式的刻画是否准确，将决定传播模型的建立是否合适。正如在前面的叙述中所提到的，大多数的生物病毒都不能独立存活，因而它们在生物体间传播时大都要通过其宿主间的物理接触。比如 HIV 病毒，乙肝病毒等都需要借助人类的体液接触才能传播。当然也有少数的生物病毒如非典型性肺炎病毒（SARS），流感病毒等它们的传播似乎不通过宿主的直接的物理接触[74]。依据前面的叙述这些病毒也同样是寄生在宿主的体细胞内的。它们离开活的宿主后会很快死亡，这类病毒的大部分是借由宿主的呼出的飞沫传播的，飞沫中含有宿主的大量的体液，而这些病毒也就是寄生在飞沫中的体细胞内，因此它们只能在空气中存活很短的时间，故不能长距离传播。如 SARS 病毒宿主间如果空气流通、相隔 10 米以上就不会被传染上[75]。生物病毒的传播是通过宿主的物理接触。既然是物理的接触，那么生物种群内生物体的流动状况就决定了生物病毒传染系数的大小，而种群的大小也就决定了传播范围的大小。种群内的生物体的流通条件就限定了传播的速度和范围。比如早期人类在没有现代的交通工具时，天花、麻疹也就在百公里内传播。等人们后来有了汽车、火车后，传播的范围就扩大到上百甚至上千公里。等人类有了飞机后，传播范围也随着扩大到了上万公里。但无论怎样扩大，生物种群内生物体间的物理接触方式，是相对稳定的。而同一种群内生物体间的个体差别很小。所以在生物病毒的传播模型中传播系数通常都设定成一常数。当然这一传播常数除了与宿主间的流动状况有关外，还与病毒自身的传播机制有关。但我们知道某一生物病毒的传播机制是固定的，除非生物病毒产生了变异，而变异后的生物病毒将是一个新的病毒，其传播系数也就变为另一个常数。如在方程（1.1）、（1.2）、（1.3）中的传播率设定为常数β就是基于这一原因。

3网络环境下一个通用病毒的传播模型..................................................................... 31

3.1 模型的提出.............................................................................................................. 31

3.2 传播模型的建立...................................................................................................... 32

3.3 传播模型的解.......................................................................................................... 34

3.4 小结.......................................................................................................................... 40

4 模型中的门限值和单结点的作用............................................................................. 42

4.1 门限值问题的相关背景.......................................................................................... 42

4.2 模型求解及门限值的缺失...................................................................................... 44

4.3 门限值不存在的证明.............................................................................................. 44

4.4 单结点对病毒传播的作用...................................................................................... 50

4.5 小结.......................................................................................................................... 51

5邮件病毒传播的离散模型......................................................................................... 53

5.1 邮件病毒的相关背景.............................................................................................. 53

5.2 邮件病毒传播模型的建立...................................................................................... 56

5.3 邮件病毒消亡的条件.............................................................................................. 58

5.4 单个用户在邮件病毒传播中的作用...................................................................... 59

5.5 实验验证.................................................................................................................. 61

5.6 小结.......................................................................................................................... 62

6网络环境下病毒的求源............................................................................................. 64

6.1 病毒求源的背景...................................................................................................... 64

6.2 求源建模.................................................................................................................. 65

6.3 求源方程的解.......................................................................................................... 68

6.4 求源的几点结论...................................................................................................... 71

6.5 实验模拟验证.......................................................................................................... 72

6.6 小结.......................................................................................................................... 76

6 网络环境下病毒的求源

研究计算机病毒的传播路径、探求病毒的源头对于打击、防御病毒是不可缺少的部分。令人遗憾的是病毒的求源并不是病毒传播简单的逆过程，生物病毒的传播路径是不能确定的，这也是理论上生物病毒无法求源的原因之一，但应该看到计算机病毒在网络环境下的传播是可被记录的，这为网络环境下病毒的求源提供了可行性。本章通过分析结点的状态改变的主要种原因，建立病毒的求源模型。

6.1 病毒求源的背景

在论文的第一部分曾提到计算机病毒的分类问题，依据传播媒介来分，计算机病毒被分为单机病毒和网络病毒，但由于现代网络环境下，潜入文件系统的单机病毒也可随着这些文件借助网络来传播，所以网络病毒几乎涵盖了所有的计算机病毒。这种宽泛的网络病毒已构成网络安全的一个很重要的组成部分。防御并制止病毒是非常必要的，但寻找病毒的传播路径并进而求得病毒的源点，对于打击病毒的植入者、防御并制止病毒的传播也已成为必要的课题。然而令人遗憾的是，当前探测病毒源的工作只集中在技术层面，比如根据病毒的特征、背景判断病毒的来源，安全部门依据对网民的长期监督、统计、甚至审问、侦察来判断病毒的可能源头。所以网络病毒的查源至今还没有形成成熟的理论[85]。

7 论文总结

计算机病毒已构成计算机安全的一个重要组成部分， 作为计算机反病毒技术的重要补充，计算机病毒传播模型正被国内外的一些有前瞻性的专家和机构所重视。而当前的一些计算机病毒传播模型大都依据生物病毒的传播模型建立的，这些模型并不适合实际的计算机病毒的传播，基于此背景论文主要进行了如下的研究工作。

7.1 总结

论文首先分析了计算机病毒和生物病毒的主要特征，对比了计算机病毒与生物病毒的相似之处，更重要的是论文从病毒传播中感染者的接触类型、感染者的个体差别、病毒传播导致的感染者的最终结果、感染者对病毒免疫的获得等几个重要方面指出了计算机病毒不同于生物病毒的传播特征，从而为建立新的计算机病毒模型奠定了基础。论文选择了一个普通的网络环境，将影响病毒传播最重要的因素：网络的连接率和病毒的治愈率设定为时间的函数，从而建立了计算机病毒在网络环境下传播的数学模型（GSM 模型）。而已有的模型由于忽略了网络的这种动态变化，它们将两者都设定为常数，因此与实际病毒的统计数据不相符。论文给出了病毒传播模型的解，分别讨论了网络的连接率和病毒的治愈率的变化对病毒传播的影响，并与实际病毒的统计数据相对比，两者的走向基本一致。门限值是病毒传播中的转折点，生物病毒的传播模型都存在门限值。在 GSM 模型的基础上论文进一步讨论网络环境下病毒传播的门限值问题和单结点在病毒传播中的不同作用。论文得出结论：如果病毒的传播紧密地依赖网络的连接率,而它们的治愈率又相对较小,那么这类病毒的门限值是不存在的。基于该结论，论文对长期以来困扰计算机病毒传播模型的两个公开问题给出了合理的解释。论文指出具有不同连接率的结点在病毒传播中的作用也不相同，依据 GSM模型论文给出了它们的估算公式。这也为刚刚起步的网络免疫系统中结点的选择提供了依据。