吳文君

引言：互聯(lián)網(wǎng)的發(fā)展，為人們的生活帶來(lái)了更多的便利和樂(lè)趣，但計(jì)算機(jī)病毒的存在卻給許多用戶的生活造成了困擾。為設(shè)計(jì)出有效的病毒防御機(jī)制，了解病毒的傳播機(jī)制舉足輕重。本文基于有向網(wǎng)絡(luò)針對(duì)最廣為傳播的Email病毒建立了傳播模型，并對(duì)其進(jìn)行了數(shù)理分析。首先闡述了研究課題的背景意義、國(guó)內(nèi)外目前研究的傳播模型及其優(yōu)缺點(diǎn)。然后，分析了Email病毒的傳播機(jī)制，建立了一個(gè)有向的Email網(wǎng)絡(luò)，在引入感染率函數(shù)后分兩個(gè)階段建立了Email病毒的傳播模型。最后，本文分別從理論與實(shí)驗(yàn)這兩個(gè)方面分析了病毒傳播的巔峰時(shí)刻及病毒清除的條件，得到了一致、合理的結(jié)果，為病毒抵御策略的制定提供了科學(xué)有力的指導(dǎo)。

一、研究背景與意義

計(jì)算機(jī)病毒是編制者在計(jì)算機(jī)程序中插入的破壞計(jì)算機(jī)功能或者影響計(jì)算機(jī)使用，且能自我復(fù)制的一組指令或程序代碼。它具有非授權(quán)的可執(zhí)行性、隱蔽性、破壞性、傳染性及可觸發(fā)性。 隨著互聯(lián)網(wǎng)的高速發(fā)展，現(xiàn)有的計(jì)算機(jī)病毒絕大多數(shù)是基于網(wǎng)絡(luò)進(jìn)行傳播的病毒，而將病毒代碼附屬在Email中進(jìn)行傳播則是網(wǎng)絡(luò)病毒傳播的一個(gè)主要途徑。

隨著越來(lái)越多的網(wǎng)站賬戶乃至安全賬號(hào)選擇與Email賬戶進(jìn)行綁定與認(rèn)證，用戶通過(guò)網(wǎng)絡(luò)群收發(fā)郵件、賀卡，開(kāi)啟訂閱后定期接收推送內(nèi)容的習(xí)慣，Email成為當(dāng)今世界上傳播計(jì)算機(jī)病毒最主要的媒介。因此，分析Email病毒的傳播特性，進(jìn)而提出相應(yīng)的防御策略已成為網(wǎng)絡(luò)信息安全領(lǐng)域一個(gè)首要而緊迫的任務(wù)。

二、 國(guó)內(nèi)外研究現(xiàn)狀

當(dāng)前關(guān)于Email病毒傳播模型的研究主要是在生物學(xué)病毒傳播模型的啟發(fā)下建立起來(lái)的。Kephart和White于20世紀(jì)末提出了首個(gè)計(jì)算機(jī)病毒傳播模型——SIS模型。此后，一些學(xué)者在此基礎(chǔ)上將影響病毒傳播的外界因素、反病毒措施等對(duì)病毒傳播的影響考慮進(jìn)來(lái)，力求建立更能準(zhǔn)確描述病毒的傳播特征。他們研究?jī)?nèi)容主要包括分析病毒如何在不同的網(wǎng)絡(luò)環(huán)境中傳播、傳播的時(shí)間臨界值是什么、免疫措施的影響等。其中，Bimal Kumar Mishra，Dinesh Saini依據(jù)信息的網(wǎng)絡(luò)延遲性提出了SEIRS模型。Jose R.C.Piqueira，Adolfo A.de Vasconcelos，Vanessa O.Araujo等人在對(duì)SIR、AIR、SAI模型進(jìn)行分析的基礎(chǔ)上提出了動(dòng)態(tài)SAIC模型。Hua Yuan，Guoqing Chen等人考慮了點(diǎn)到組的傳播，建立了一個(gè)擴(kuò)展的SEIR模型——e-SEIR。Cliff C.Zou，Don Towsley，Weibo Gong等人分析過(guò)網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)、初始感染節(jié)點(diǎn)度的大小、檢查電子郵件的時(shí)間間隔等因素對(duì)Email病毒傳播的影響。T.Komninos，P.Spirakis，Y.C.Stamatiou，G.Vavitsas等人嘗試在無(wú)標(biāo)度的網(wǎng)絡(luò)環(huán)境下，建立關(guān)于電子郵件和即時(shí)消息的蠕蟲(chóng)傳播模型。

國(guó)內(nèi)關(guān)于計(jì)算機(jī)病毒的研究也在不斷深入。韓蘭勝、洪帆等人建立了群組內(nèi)Email病毒的迭代傳播模型，包含了節(jié)點(diǎn)的連接率，并利用矩陣的譜半徑分析了病毒消亡的條件。韓宗芬、陶智飛等人利用復(fù)雜網(wǎng)絡(luò)的冪律分布，通過(guò)分析節(jié)點(diǎn)的度對(duì)病毒傳播的影響，給出了特定節(jié)點(diǎn)感染病毒的概率函數(shù)。

在復(fù)雜的互聯(lián)網(wǎng)系統(tǒng)中，網(wǎng)絡(luò)節(jié)點(diǎn)的連接也是動(dòng)態(tài)變化的。與此同時(shí)，Email病毒的傳播還受到人為因素等綜合因素的影響，這提高了人們對(duì)病毒傳播模型開(kāi)展研究的難度?，F(xiàn)有傳播模型的主要缺陷包括：

1.沒(méi)有較好地刻畫(huà)人為因素的影響。人為作用對(duì)Email病毒的傳播有很大的影響，例如用戶使用計(jì)算機(jī)的日常習(xí)慣、中毒后用戶警惕性的提高、采取的反病毒措施等等。用戶警惕性越高，感染病毒的概率越小，采取反病毒抵御措施還能制止病毒的進(jìn)一步傳播。

2.未考慮網(wǎng)絡(luò)環(huán)境變化的影響。在現(xiàn)實(shí)網(wǎng)絡(luò)中，病毒傳播會(huì)受到連通性和帶寬等的影響。此外，時(shí)間也是個(gè)不可忽視的因素。在復(fù)雜網(wǎng)絡(luò)中，病毒的感染率在任何一個(gè)時(shí)刻都發(fā)生著變化，它應(yīng)當(dāng)被視為一個(gè)關(guān)于時(shí)間的函數(shù)。

3.未充分結(jié)合實(shí)際考慮病毒的免疫情況。目前的研究大多從傳播初期便開(kāi)始考慮病毒的免疫情況，但其實(shí)病毒的免疫是有滯后性的，而且免疫的措施來(lái)自網(wǎng)絡(luò)管理員和用戶兩方面。用戶下載安裝反病毒程序的頻率會(huì)隨著這類程序的增多而提升。因此，免疫率與時(shí)間有關(guān)也值得納入模型的考慮。

針對(duì)以上不足并結(jié)合已有的研究成果，本文基于有向網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)，設(shè)定了動(dòng)態(tài)傳播函數(shù)，建立了一個(gè)新的Email病毒傳播模型。

三、 基于有向網(wǎng)絡(luò)的Email病毒傳播模型

1、Email病毒傳播過(guò)程綜述

電子郵件病毒是一種利用電子郵件地址進(jìn)行傳播的惡意代碼，制造者可能將病毒代碼附在電子郵件的主體中作為鏈接，也能以附件為載體。一開(kāi)始只有少數(shù)的用戶被感染，有的病毒會(huì)對(duì)破壞被感染的主機(jī)，有的還會(huì)自動(dòng)掃描其文件和有關(guān)聯(lián)系人，通過(guò)自我復(fù)制并將病毒郵件發(fā)送到掃描到的地址，從而使病毒大規(guī)模擴(kuò)散。如果用戶直接將收到的陌生郵件刪除，則不會(huì)感染上病毒。由此可見(jiàn)，用戶打開(kāi)含病毒的郵件是Email病毒傳播的直接原因，用戶的防備心越弱，病毒傳播越快，其影響也越大。

不難看出，Email病毒的傳播需要用戶參與其中，它的傳播不僅受到網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)和節(jié)點(diǎn)度的影響，還與用戶使用電子郵件的習(xí)慣有關(guān)。如：用戶打開(kāi)感染郵件的概率、用戶檢查郵件的時(shí)間間隔等。因此，本文將Email病毒的感染率定義為一個(gè)關(guān)于節(jié)點(diǎn)的度、打開(kāi)感染郵件的概率和檢查郵件的時(shí)間間隔等變量的函數(shù)，引入動(dòng)態(tài)的感染率函數(shù)將使建立的模型更符合病毒的實(shí)際傳播情況。

病毒免疫總是滯后于新病毒的出現(xiàn)。在傳播初期，由于用戶缺乏對(duì)新病毒的防備性，反病毒措施的缺失使病毒自由地傳播蔓延。然而，隨著病毒的不斷傳播，用戶將提高警惕，采取措施。因此，在病毒傳播的高峰期的關(guān)鍵點(diǎn)及時(shí)提高用戶防備性，使其采取防疫措施可以有效地控制病毒傳播，所以本文將以高峰期為臨界值，從兩個(gè)階段分析病毒的傳播。

2、Email網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)描述

由于Email病毒主要根據(jù)感染用戶的Email地址簿將病毒傳播開(kāi)來(lái)，它的傳播過(guò)程具有明顯的方向性。考慮到Email網(wǎng)絡(luò)的連通性，定義Email網(wǎng)絡(luò)為一有向圖 ，其中 為Email網(wǎng)絡(luò)的節(jié)點(diǎn)集，代表網(wǎng)絡(luò)中電子郵件用戶的集合， 為Email網(wǎng)絡(luò)中的邊集，若節(jié)點(diǎn)A的Email地址簿中含有節(jié)點(diǎn)B的Email地址，則存在一條從A指向B的有向邊，反之同理。若A、B節(jié)點(diǎn)相互擁有對(duì)方的Email地址，則A、B之間存在一條雙向邊。

Email網(wǎng)絡(luò)中節(jié)點(diǎn)的入度是指某節(jié)點(diǎn)的地址出現(xiàn)在網(wǎng)絡(luò)中其他節(jié)點(diǎn)的Email地址簿中的數(shù)目，節(jié)點(diǎn)的出度是指該節(jié)點(diǎn)的Email地址簿中含有的Email地址數(shù)。電子郵件病毒的傳播在很大程度上取決于感染節(jié)點(diǎn)的度，因?yàn)楣?jié)點(diǎn)的度反映的是該節(jié)點(diǎn)與網(wǎng)絡(luò)中其他節(jié)點(diǎn)的連接強(qiáng)度。節(jié)點(diǎn)的入度越大，被感染的概率就越高；節(jié)點(diǎn)的出度越大，感染其他節(jié)點(diǎn)的概率就越大。

Email有向網(wǎng)絡(luò)同其他復(fù)雜網(wǎng)絡(luò)一樣，具有局部集聚性，且其節(jié)點(diǎn)服從冪律分布。節(jié)點(diǎn)的度越大，越能促進(jìn)病毒的傳播。而在實(shí)際的Email網(wǎng)絡(luò)中，度很大的節(jié)點(diǎn)一般較少，大多數(shù)節(jié)點(diǎn)的度均較小，而度很大的節(jié)點(diǎn)被感染則會(huì)招致病毒的快速擴(kuò)散。

3、Email病毒傳播模型建立

1）初始階段的傳播模型

假設(shè)時(shí)間是離散，令 ，用 表示郵件網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)中的用戶總數(shù)。 表示 時(shí)刻網(wǎng)絡(luò)中被感染的用戶數(shù)，則 時(shí)刻未感染（健康）的用戶的數(shù)目為 。設(shè)某個(gè)健康用戶被感染的概率為 ，則單位時(shí)間內(nèi)新增的被感染用戶有 。因此， 時(shí)刻網(wǎng)絡(luò)中已感染病毒的用戶由兩部分構(gòu)成： 時(shí)刻已感染上病毒且到 時(shí)刻還未被清除的用戶數(shù)目以及 時(shí)刻新增被感染用戶的數(shù)目。令 為反病毒程序開(kāi)始出現(xiàn)的時(shí)刻，則未出現(xiàn)殺毒程序前，即 時(shí)，病毒的傳播滿足迭代關(guān)系： ，其中 為病毒感染率函數(shù)。

由于Email病毒的傳播是從已感染節(jié)點(diǎn)的相鄰節(jié)點(diǎn)傳播的，也就是說(shuō)， 時(shí)刻被感染節(jié)點(diǎn)是與 時(shí)刻的感染節(jié)點(diǎn)直接相連的，故感染率函數(shù) 與節(jié)點(diǎn)的平均節(jié)點(diǎn)度 有關(guān)且 越大越有利病毒的傳播。同時(shí)，感染率函數(shù) 還應(yīng)與感染用戶數(shù)目占總數(shù) 的比例有關(guān)，因?yàn)轱@然已感染的用戶數(shù)占比越大，病毒傳播得越快，節(jié)點(diǎn)感染的概率也越大。此外，病毒進(jìn)入某用戶的郵箱后并不會(huì)自行運(yùn)行，而是潛伏其中直到用戶查看郵箱并打開(kāi)該郵件乃至點(diǎn)擊其中的鏈接或下載附件時(shí)才會(huì)被激活。由此可見(jiàn)，若用戶查看郵件的時(shí)間間隔越大，則病毒的潛伏期越長(zhǎng)，傳播得也就越慢。用戶從郵件服務(wù)器上下載郵件后是否會(huì)感染上病毒則取決于用戶是否打開(kāi)該郵件。若用戶打開(kāi)該郵件，則可能感染病毒并傳給其他用戶；若用戶或其主機(jī)中的殺毒軟件檢測(cè)到郵件的異常，在未打開(kāi)的時(shí)就將其刪除，則用戶一定不會(huì)感染上病毒，且有效地抑制了病毒進(jìn)一步傳播。因此， 還與用戶查看郵件的時(shí)間間隔和用戶打開(kāi)郵件的概率有關(guān)。令 為用戶打開(kāi)帶毒郵件的概率， 為用戶檢查郵件的時(shí)間間隔，則單位時(shí)間內(nèi)用戶打開(kāi)帶毒郵件的概率為 ，從而有 ，代入迭代函數(shù)，有：

2）采取免疫措施后的傳播模型

在建立采取免疫措施后的病毒傳播模型的過(guò)程中，應(yīng)當(dāng)考慮其的延遲效應(yīng)，重新分析當(dāng)病毒爆發(fā)規(guī)模達(dá)到一定程度，采取免疫措施后，單位時(shí)間內(nèi)新增感染的用戶數(shù)應(yīng)當(dāng)從上述的用戶數(shù)中減去清除了病毒的用戶數(shù)。事實(shí)上，感染用戶在殺毒后將變回為易感（健康）用戶，因此在病毒傳播并被清除的過(guò)程中，主機(jī)其實(shí)在易染狀態(tài)和感染狀態(tài)之間不斷切換。設(shè)用戶查殺病毒的概率為 ，則殺毒后即 時(shí)，

4、傳播模型的理論分析

1） 傳播過(guò)程的巔峰時(shí)刻

為了更加準(zhǔn)確地分析病毒的傳播特征，以便在合適的時(shí)刻采取免疫措施，需要分析病毒在自由傳播時(shí)的巔峰時(shí)刻。

易得微分方程： ，當(dāng) 時(shí)，有 ，我們將在單位時(shí)間內(nèi)新增感染的用戶數(shù)目最多的時(shí)刻定義為病毒傳播的巔峰時(shí)刻。由表達(dá)式知，用戶越有可能打開(kāi)郵件，Email病毒傳播過(guò)程中感染的用戶越多；用戶隔得越久查看郵件，越能阻礙病毒傳播。

設(shè)初始時(shí)刻被感染的節(jié)點(diǎn)數(shù)為 ，代入上述微分方程，有：

令 ，則 ，計(jì)算可得：

在傳播巔峰到來(lái)前采取免疫措施將較易控制病毒，若在傳播巔峰到來(lái)后再采取措施，則病毒很可能已經(jīng)大規(guī)模爆發(fā)，此時(shí)補(bǔ)救會(huì)更為困難。為了更好地控制病毒的傳播勢(shì)態(tài)，應(yīng)當(dāng)盡可能延遲傳播的巔峰時(shí)刻，因?yàn)檫@樣能為反病毒專家爭(zhēng)取更多的時(shí)間去研發(fā)殺毒程序。因此， 的值越大越好?？梢钥闯觯脩舸蜷_(kāi)郵件的概率及平均節(jié)點(diǎn)度與傳播巔峰時(shí)刻的函數(shù)成反比，與用戶查看郵件的時(shí)間間隔成正比，這說(shuō)明如果用戶盡可能少地打開(kāi)帶毒郵件、不那么頻繁地查收郵件并且不要在Email聯(lián)系人中保存太多Email地址對(duì)推遲病毒傳播的時(shí)刻有益，能有效地阻礙病毒的傳播。

2）病毒清除的臨界條件

用戶通過(guò)下載運(yùn)行相應(yīng)的殺毒程序查殺病毒、刪除感染文件后能夠有效控制病毒的傳播，在一定條件下甚至能徹底清除病毒。

由上述分析，有：

變形可得伯努利方程：

計(jì)算得到方程的解為：

其中 表示單位時(shí)間內(nèi)感染用戶數(shù)的增長(zhǎng)率。當(dāng) 時(shí)，感染用戶數(shù)不再增加，這意味著病毒的傳播得到了控制。令 ，則可得到：

由此可得：

由于當(dāng) 時(shí) ，則當(dāng) 時(shí)，

這說(shuō)明在病毒的傳播過(guò)程中，當(dāng)殺毒率 、用戶在單位時(shí)間內(nèi)打開(kāi)感染郵件的概率 以及初始時(shí)刻已感病毒的用戶數(shù)目 滿足 時(shí)，病毒傳播能夠得到控制。

若用戶在單位時(shí)間內(nèi)很可能打開(kāi)帶毒郵件，則需要較大的病毒清除率 才能阻止病毒的傳播；若打開(kāi)的可能性較小，則較小的 也可以控制病毒傳播。 與 呈反比關(guān)系，這是因?yàn)?越小，病毒傳播的空間就越大，因此需要較大的查殺率才能阻止病毒的大規(guī)模傳播。反之，若 很大說(shuō)明用戶相鄰的可感染的用戶數(shù)目較少，這時(shí)病毒的傳播速度趨于平緩，因此無(wú)需很大的殺毒率就能阻止其傳播。由此可見(jiàn)，病毒傳播的各影響因素之間存在著相互制約的關(guān)系而不是彼此獨(dú)立的，分析得到的上述病毒的清除條件有利于指導(dǎo)控制病毒傳播的抵制策略。

5、傳播模型的仿真實(shí)驗(yàn)

在Matlab7.0的環(huán)境下用Simulink工具箱進(jìn)行仿真實(shí)驗(yàn)，對(duì)模型進(jìn)行進(jìn)一步的驗(yàn)證與分析。假設(shè)在Email有向網(wǎng)絡(luò)中，用戶總數(shù)N=10000，用戶地址簿中的平均聯(lián)系人數(shù) 為10。人。

圖1 打開(kāi)郵件的概率的影響 圖2查收郵件時(shí)間間隔的影響

從圖1可知，病毒的傳播分為三個(gè)階段。一開(kāi)始，病毒傳播的十分緩慢，到中期時(shí)，病毒的傳播速度快速提升，當(dāng)感染的用戶數(shù)達(dá)到用戶總數(shù)的一半左右時(shí)，病毒傳播迎來(lái)巔峰時(shí)刻（如虛線所示）。最后，當(dāng)感染用戶數(shù)占比接近100%時(shí)，傳播增速減緩并趨于穩(wěn)定。從圖2可以看出，用戶查收郵件時(shí)間間隔與之相似，時(shí)間越長(zhǎng)，病毒傳播得越慢，且在占比達(dá)到約一半的時(shí)候達(dá)到傳播的巔峰時(shí)刻。這與3.4.1節(jié)的理論分析結(jié)果是一致且相吻合的。

圖3 采取免疫措施后病毒清除率的影響 圖4 免疫后查收郵件時(shí)間間隔的影響

由圖3知，采取免疫措施后，病毒的傳播可能持續(xù)上升也可能逐漸下降。圖中虛線部分為開(kāi)始出現(xiàn)反病毒程序的時(shí)刻。當(dāng) 時(shí)，感染用戶的數(shù)目不斷增加當(dāng) 時(shí)，感染用戶的數(shù)目數(shù)逐漸減少，病毒傳播呈下降趨勢(shì)最終趨于零。由仿真結(jié)果可知， 越大 越小，感染的用戶數(shù)目減少得越快。

在 和 保持不變的情況下，查收郵件的時(shí)間間隔對(duì)感染用戶數(shù)的影響如圖4所示。其影響效應(yīng)與未采取免疫措施時(shí)類似，時(shí)間間隔越大越能有效抑制病毒傳播。采取免疫措施后，感染用戶數(shù)呈下降趨勢(shì)，病毒傳播得到了有效的控制。這與理論分析的結(jié)果也是一致的，說(shuō)明該模型建立得合理、科學(xué)。

四、總結(jié)

本文通過(guò)分析郵件病毒的傳播環(huán)境及傳播特性，定義了一個(gè)有向的Email網(wǎng)絡(luò)拓?fù)淠Ｐ?，并引入了一個(gè)動(dòng)態(tài)感染率函數(shù)，進(jìn)而建立了一個(gè)病毒傳播的數(shù)學(xué)模型，有效地刻畫(huà)了郵件病毒傳播的復(fù)雜性和交互性。此外，分析得出了該模型得出病毒傳播過(guò)程存在一個(gè)關(guān)鍵時(shí)刻。在該時(shí)刻，病毒傳播速度達(dá)到最大值，傳播的巔峰時(shí)刻到來(lái)；在此時(shí)刻之前及時(shí)清除病毒或延遲該時(shí)刻的到來(lái)將有利于控制病毒的傳播。

本文還通過(guò)分析得到了病毒傳播得到有效控制及清除的條件。分析結(jié)果表明，若用戶地址薄中的Email地址越多，打開(kāi)帶毒郵件的可能性越大，查收郵件的時(shí)間間隔越短，則需要更大的病毒清除率；在相反的情況下，較小的殺毒率也能較好地抑制病毒的傳播。仿真實(shí)驗(yàn)也證明了理論分析的合理性。本文開(kāi)展的研究與分析為病毒傳播防治策略的提出提供了科學(xué)有效的理論指導(dǎo)。

參考文獻(xiàn)

[1]Bimal Kumar Mishra， Dinesh Saini. Mathematical models on computer viruses. Applied Mathematics and Computation，2007，1 87（2）：929-936.

[2]Jose R.C.Piqueira，Adolfo A.dc Vasconcelos，Carlos E.C.J.Gabriel，Vanessa O.Araujo. Dynamic models for computer viruses.Computers&Security，2008，27（7-8）：355-359.

[3]Hua Yuan，Guoqing Chert.Network virtlS—epidemic model with the point-to—group

information propagation.Applied Mathematics and Computation，2008，206（1）：357-367.

[4]Cliff C.Zou，Don Towsley，Weibo Gong.Email virus propagation modeling and Analysis.Technical Report：TR-CSE一03-04，University of Massachusetts，Amherst，

2004，157-170.

[5]T.Komainos，P.Spiralds，Y.C.Stamatiou，G.Vavitsas.A Worm Propagation Model based on Scale Free Network Structures and PeopleS Email Acquaintance Profiles.International Journal of Computer Science and Network Security，2007，7（2）：308-315.

[6]鄧清華. 計(jì)算機(jī)病毒傳播模型及防御策略研究[D]. 華中師范大學(xué)碩士學(xué)位論文， 2009.

[7]韓蘭勝，洪帆，韓淑霞.郵件病毒傳播的迭代模型.計(jì)算機(jī)工程，2007，33（6）：1—2，5.

[8]韓宗芬，陶智飛.網(wǎng)絡(luò)病毒傳播模型及兩階段動(dòng)態(tài)免疫策略.華中科技大學(xué)碩

士學(xué)位論文，2006.

（作者單位：中南財(cái)經(jīng)政法大學(xué) 統(tǒng)計(jì)與數(shù)學(xué)學(xué)院）