超越黑名单：建模恶意软件传播与干预效果

恶意软件在网站之间以及网站与客户端之间的传播是一个日益严重的问题。搜索引擎在引导用户访问网站方面发挥着重要作用，并且是进行干预的自然控制点，例如使用黑名单机制。本文提出了一个简单的马尔可夫模型，用于描述恶意软件在大量网站群体中的传播，并研究了搜索提供商可能部署的两种干预措施的效果：将受感染网页从搜索结果中完全移除的黑名单，以及黑名单的泛化形式——降权，即如果网站在某个时间段内仍处于感染状态，其排名会按固定百分比下降。我们分析并研究了不同干预措施下感染暴露与因误报导致的流量损失（网站被错误列入黑名单的成本）之间的权衡。正如预期，我们发现当网站清除感染速度较慢时，干预措施最有效。令人惊讶的是，我们还发现低感染率或恢复率可能会因误报而增加流量损失。我们的分析还表明，许多研究记录的网站流行度的重尾分布会导致所有测量结果的高样本方差。这些结果意味着，很难凭经验确定某些网站干预措施是否有效，并表明像本文所述的理论模型在改善网络安全方面可以发挥重要作用。