Verspreiding van een metamorf computervirus

Verspreiding van een metamorf computervirus

Cluster: Evolutie

Door: Floor Clarisse 11035757 Wiskunde

Bor Ditewig 10810625 Medische Informatiekunde Jochem Hölscher 11007729 Kunstmatige Intelligentie Begeleider: Jelle Zandveld & Martijn Egas

Datum: 04-02-2018

Woorden: 8857 exclusief bijlagen ABSTRACT

Vanwege het gevaar van cybercriminaliteit is het van belang inzicht te hebben in de verspreiding van computervirussen en van metamorfe computervirussen, welke zichzelf kunnen aanpassen. De biologische analoog van een computervirus is de infectieziekte, waarbij antivirussoftware kan worden vergeleken met vaccinaties. Voor de verspreiding van infectieziekten bestaan epidemiologische modellen. In dit onderzoek wordt een antwoord gezocht op de vraag: “hoe kan een model voor de verspreiding van een metamorf computervirus gerealiseerd worden door evaluatie van de verschillen tussen verspreidingsmodellen voor infectieziekten en traditionele computervirussen?”. Voor het beantwoorden van deze vraag wordt vergelijkend gekeken naar modellen voor verspreiding van traditionele computervirussen, metamorfe computervirussen en infectieziekten, met en zonder de variabele evolutie. Door het SIR (susceptible-infective-recovered) model voor influenza aan te passen kan een SAIR voor (traditionele) computervirussen gevonden worden, waarbij A staat voor Antidotal, de groep computers met antivirussoftware (Piqueira & Araujo, 2009). Door SIR voor influenza te vergelijken met modellen voor influenza waarbij rekening wordt gehouden met evolutie, is inzicht verkregen in welke aspecten belangrijk zijn bij het opstellen van een model voor een metamorf computervirus. Door rekening te houden met het aspect van tijdelijke immuniteit, waarbij een individu hersteld van een virus weer opnieuw besmet kan worden, kan een SIRS model opgesteld worden. Aanpassingen equivalent aan die van het SAIR model om dit model toepasbaar op computervirussen te maken zullen nodig zijn om een verspreidingsmodel voor metamorfe computervirussen op te stellen.

Inhoud

Inleiding

Cybercriminaliteit is een van de kwalen van de 21ste eeuw. Minstens 8 procent van de Nederlandse bevolking is in 2015 aangevallen door computervirussen (CBS, 2017). Zelfs grote bedrijven zijn niet veilig op het internet. De kosten die dergelijke aanvallen met zich meebrengen kunnen optellen tot in de honderden miljarden (Andersen, 2017).

Een van de meest voorkomende vormen van cybercriminaliteit zijn computervirussen. Een computervirus is een klein programma dat computers “infecteert” via het internet. Meestal heeft het computervirus een specifiek doel dat schadelijk is voor de gebruiker van de geïnfecteerde computer (Bist, 2014). Het is dus van belang inzicht te hebben in de verspreiding van computervirussen.

De biologische analoog van het computervirus is de infectieziekte. Hierbij kan de antivirussoftware worden vergeleken met een vaccinatie tegen een infectieziekte, hoewel de toepassing van antivirussoftware ook als medicijn kan worden beschouwd, en een vaccinatie enkel als preventie. In een veralgemeniseerd model zou een entiteit voor zowel een computer als een biologisch organisme kunnen staan, waarbij besmetting plaatsvindt met een computervirus of infectieziekte. Deze infectie kan via het internet of fysieke nabijheid respectievelijk plaatsvinden. Verschillen in de modellen zullen afhankelijk zijn van verschillen tussen de entiteiten computers en biologische organismen, en bijvoorbeeld ook van elementen als toepassing van antivirussoftware tegenover vaccinatie.

Voor de verspreiding van infectieziekten bestaan verscheidene wiskundige modellen. Een daarvan is SIR, het Susceptible-Infectious-Recovered model (Grassly & Fraser, 2008). Op basis van gegevens over onder andere fysieke nabijheid tussen entiteiten kunnen epidemiologische modellen opgesteld worden (Masuda & Holme, 2013). Omdat modellen voor infectieziekten en computervirussen zo veel gemeen hebben, kan de verspreiding van een computervirus worden herleid uit verspreiding van vergelijkbare infectieziekten. Zo wordt het SIR model afkomstig uit de epidemiologie aangepast voor toepassing op computervirussen, bijvoorbeeld door Piqueira & Araujo (2009).

Een verschil tussen een computervirus en een infectieziekte is dat infectieziekten zoals het griepvirus onderhevig zijn aan evolutie, waardoor de vaccinaties tegen het griepvirus na enige tijd niet meer werken (Butler, 2014; RIVM, 2011). Het soort computervirussen die zichzelf wel kunnen aanpassen heet een metamorf computervirus. Hoe gunstiger het virus aangepast is, hoe meer het zich zal verspreiden, zo is het bij wijze van spreken aan evolutie onderhevig. Niet-metamorfe computervirussen (verder aangeduid als traditionele computervirussen) proberen zichzelf te verbergen voor virusscanners door hun eigen code te versleutelen. Anders dan traditionele, metamorfe computervirussen versleutelen hun eigen code elke keer dat ze zichzelf opnieuw verspreiden. Hierdoor is het voor virusscanners erg lastig om ze te herkennen (Bist, 2014). Om een model voor de verspreiding van Metamorfe computervirussen op te stellen, moet rekening worden gehouden met de variabele van evolutie. In hoeverre er sprake is van evolutie wordt later besproken. In dit onderzoek wordt een antwoord gezocht op de vraag: “hoe kan een model voor de verspreiding van een metamorf computervirus gerealiseerd worden door evaluatie van de verschillen tussen verspreidingsmodellen voor infectieziekten en traditionele computervirussen?”. Voor het beantwoorden van deze vraag wordt vergelijkend gekeken naar modellen voor verspreiding van traditionele computervirussen en infectieziekten, met en zonder de variabele evolutie.

Het concept van computervirussen die zichzelf aanpassen is relatief nieuw. Hoewel er wel wetenschappelijk onderzoek naar de verspreiding van traditionele computervirussen bestaat, zoals

het onderzoek van Piqueira en Araujo (2009), is er nog geen vergelijkend onderzoek naar de verspreiding van metamorfe computervirussen en hoe deze verschilt van de traditionele computervirussen. Tevens is het van maatschappelijk belang dat er onderzoek gedaan wordt naar de verspreiding van metamorfe computervirussen, aangezien deze wellicht nog grotere schade zouden kunnen aanrichten dan traditionele computervirussen.

Het SIR model wordt gebruikt voor beschrijven van de verspreiding van zowel traditionele computervirussen als infectieziekten, maar vermoedelijk verschilt de toepassing van het model. Door de verschillen tussen SIR, en een uitbreiding, SAIR, bij traditionele computervirussen en infectieziekten te bestuderen, zal inzicht verworven worden in de verschillen tussen verspreidingsmodellen voor traditionele computervirussen en infectieziekten. Hierbij wordt de variabele evolutie bij infectieziekten nog buiten beschouwing gelaten. In een volgend stadium van het onderzoek worden de verschillen tussen SIR bij infectieziekten met én zonder de variabele evolutie bekeken. Vervolgens zal gekeken worden welke van de gevonden verschillen tussen traditionele computervirussen en infectieziekten met en zonder de variabele evolutie van belang zijn bij het opstellen van een gegeneraliseerd model voor de verspreiding van metamorfe computervirussen. Bovenstaand geeft aanleiding tot de drie volgende deelvragen en is schematisch weergegeven in Figuur 1:

1. Hoe verschilt de toepassing van een SIR en SAIR model tussen traditioneel computervirus en influenza zonder de variabele evolutie.

2. Hoe verandert het SIR model bij inachtneming van het evolutionaire aspect van influenza? 3. Hoe kunnen de verschillen tussen een traditioneel computervirus en influenza zonder de

variabele evolutie en de verschillen tussen het niet en het wel in acht nemen van evolutie gebruikt worden bij het opstellen van een model voor verspreiding van een metamorf computervirus?

Om deze vragen te beantwoorden is dus kennis over computervirussen, infectieziekten en wiskundige modellen voor verspreiding nodig. Hieronder zijn de verwachte uitkomsten kort beschreven:

1. De aard van het internet maakt dat computervirussen zich sneller verspreiden dan infectieziekten. Daarnaast kunnen computers elk moment van het internet af, dus kunnen ze niet geïnfecteerd worden. Mensen kennen niet zo’n zelfde situatie.

2. Doordat een drager van influenza wel weer vatbaar kan worden voor een gemuteerde influenza variant kan een SIRS model beter deze verspreiding te beschrijven. Een SIRS model is een variatie op het SIR model waarbij rekening gehouden wordt met de variabele evolutie (Truscott et al., 2011).

3. Een model voor een metamorf computervirus is een SIRS model waarbij computers elk moment in een R staat kunnen komen, maar vanuit daar met een constante stroom in de S staat komen. Dit volledige proces gaat sneller dan bij infectieziekten vanwege de aard van het internet.

Voor beantwoording van de onderzoeksvraag zijn verschillende disciplines nodig. Toereikende kennis over de werking van computervirussen en hoe deze zich verspreiden over netwerken is afkomstig uit de kunstmatige intelligentie (KI), en wordt besproken in paragraaf 2.1. Kennis over infectieziekten en reeds bekende empirische feiten over het verspreidings- en overlevingsgedrag van influenza wordt geleverd door de medische informatiekunde (MI) in paragraaf 2.2. Om de basis van epidemiologische modellen te begrijpen zijn wiskundige inzichten van belang. Deze inzichten worden besproken in paragraaf 2.3. Voor de vergelijking tussen de verspreidingsmodellen van computervirussen en

infectieziekten is dus een integratie nodig van de drie disciplines. Na deze bespreking van de theorie achter het onderwerp worden de deelvragen beantwoord en bediscussieerd.

Figuur 1: Schematische weergave van de deelvragen

2.1 Computervirus

Malware is een brede term voor software die gevaarlijk is voor de computer waar deze op staat. Computervirussen zijn een van de meest voorkomende vormen van malware (Prasad & Kisore, 2015).

Een computervirus kenmerkt zichzelf door zijn kleine grootte in vergelijking tot andere malware en dat het kopieën van zichzelf verspreidt door het delen van software tussen computers (Mousavi & Wah, 2016). De simpelste vorm van dit virus is een encrypted computervirus. De code is onleesbaar gemaakt door encryptie. Het computervirus kan zelf de code verkrijgen door een ingebouwd decryptie programma (Bist, 2014). In de rest van de tekst wordt de encrypted computervirus een traditioneel computervirus genoemd omdat dit type virus het oudste is van alle computervirussen die zelf verhuld zijn.

Een metamorf computervirus is een computervirus dat zijn eigen code kan veranderen, herschrijven en vertalen. Dit maakt het de meest infectieuze vorm van malware (Bist, 2014; Mousavi & Wah, 2016). Het programma bouwt zichzelf op in de computer waardoor het bij elke generatie anders kan uitpakken. Omdat dit type computervirus steeds verandert, is het moeilijker om te detecteren door virusscanners (Prasad & Kisore, 2015). Door de willekeurige aard van het wederopbouwen nemen de meeste metamorfe virussen geen encryptie eigenschappen over van de vorige generatie. Behalve de werking van het virus, is het volledig willekeurig hoe het er in de volgende generatie uit ziet, daarom ondergaat het virus geen Darwiniaanse evolutie.

Verspreidingsmodellen

De meeste modellen die de verspreiding van een computervirus beschrijven, beschrijven dat virus binnen een bepaald netwerk. Elke computer is een internal computer of een external computer. Een internal computer is verbonden met het netwerk en een external is niet verbonden. Elke internal computer, geïnfecteerd met het virus of niet, kan op elk moment verbinding met het netwerk

verbreken en daardoor een external computer worden. Hetzelfde geldt voor external computers die verbinden met het netwerk en daardoor een internal computer worden.

Over external computers wordt aangenomen dat hun niks “overkomt” wanneer ze niet verbonden zijn met het netwerk. Ze kunnen dus geen virus oplopen, antivirus installeren of andere computers infecteren. Dus wanneer er een virus volledig van een netwerk is gehaald, is het altijd mogelijk dat het terugkomt omdat een geïnfecteerde external computer weer verbinding maakt met het netwerk. Hierom zal een groot netwerk als het internet nooit een virusvrij equilibrium hebben (Gan et al, 2014).

2.2 Infectieziekten

Zoals verteld, kan een analoog tussen computervirussen en infectieziekten getrokken worden. Influenza is een virus dat net als alle biologische systemen aan evolutie onderhevig is (Truscott et al, 2011). Dit kan gebeuren door menging tussen virusvarianten en de isolatie van drager-populaties. Bij langdurige isolatie van dragerpopulatiesoorten kan gescheiden onafhankelijke evolutie optreden door selectieve druk. Een variant waartegen de drager minder antigenen bezit, verspreidt zich gemakkelijker (Webster, Bean, Gorman, Chamers & Kawaoka, 1992).

Het influenzavirus komt voor bij vele diersoorten en heeft de mogelijkheid zodanig te muteren dat het incidenteel op een andere diersoort overgedragen kan worden (Webster et al, 1992). Het virus verspreidt zich hoofdzakelijk bij fysieke nabijheid omdat het alleen via kleine druppeltjes en direct contact overgedragen wordt (Brankston, Gitterman, Hirji, Lemieux, Gardam, 2007). Tevens kan het zich via water verspreiden (Tuite, Tien, Eisenberg, Earn, Ma & Fisman, 2011). Het is zeer onwaarschijnlijk dat influenza zich via de lucht kan verspreiden (Brankston et al, 2007).

Verspreidingsmodellen

Het eerste epidemiologische model waarin influenza beschreven werd stamt uit het begin van de 20e eeuw (Coburn, Wagner & Blower, 2009). Dit is het Susceptible-Infectious-Recovered (SIR) model. Dit model is gebaseerd op een populatie die niet groter of kleiner wordt en waarin initieel iedereen vatbaar is. Voor realistischer modellen zijn variaties gemaakt op dit basismodel (Coburn et al, 2009). In recentere modellen wordt rekening gehouden met onder andere demografie, een veranderende populatie en mutatie van het virus (Coburn et al 2009; Gubar & Zhu, 2013).

2.3 Wiskundige modellen

Een soort wiskundig model dat geschikt is voor het beschrijven van verspreiding van infectieziekten, is een ziektecompartimentenmodel. Zo een model verdeelt de populatie N in compartimenten, waarbij het model de transitie tussen compartimenten beschrijft, zie figuur 2. De snelheid van deze transities wordt gegeven door differentiaalvergelijkingen (Hethcote, 2000). Een differentiaalvergelijking is een vergelijking voor een functie x(t) (waarbij t de tijd) waarin de afgeleide van de functie voorkomt (bijvoorbeeld x’(t) = 2x(t)). Omdat de afgeleide van een functie de snelheid beschrijft waarmee de functie verandert, zijn differentiaalvergelijkingen ideaal om de snelheid van overgang tussen de compartimenten te beschrijven en daarmee de snelheid van de infectie te modelleren.

Het eerder genoemde SIR model is een ziektecompartimentenmodel, waarin de constante populatie wordt onderverdeeld in de klassen Susceptible (vatbaar), Infectious (geïnfecteerd) en

Recovered (hersteld). Tussen de klassen vindt stroming van individuen plaats, afhankelijk van de mate van contact tussen individuen en de duur van de ziekte. Het SIR model wordt door Hethcote (2000) gegeven als het volgende stelstel differentiaalvergelijkingen:

dS/dt = −βIS/N, dI/dt = βIS/N −γI, dR/dt = γI,

met beginwaardeprobleem S(0) = S0 ≥ 0, I(0) = I0 ≥ 0, R(0) = R0 ≥ 0. waarbij S(t) het aantal susceptibles op tijd t, I(t) het aantal infectives of tijd t, R(t) het aantal recovered op tijd t. De totale populatie wordt aangeduid met N(t), dus N=S+I+R. Hier is β het gemiddelde aantal adequate contacten van een individu per tijdseenheid, en γ is de gemiddelde duur van de ziekte.

Een SIR model is toepasbaar op ziekten waarbij individuen zonder immuniteit besmet kunnen raken door een vorm van contact. Met adequaat contact wordt contact tussen twee individuen bedoeld die voldoende is voor het overbrengen van de ziekte. Merk op dat de natuur van dit contact afhankelijk is van de soort ziekte (Hethcote, 2000).

Belangrijke termen bij het SIR model zijn de Basic Reproduction Number R0, het Contact Number σ, en het Replacement Number R (soms ook wel Reproduction Number genoemd). R0 geeft het gemiddelde aantal secundaire besmettingen van een besmet individu wanneer deze in een volledig susceptible populatie terecht komt, en is dus alleen gedefinieerd op tijdstip nul. Hier wordt met een secundaire besmetting de overdraging van de ziekte van de primaire besmetting, oftewel het besmette individu, naar een ander individu bedoeld. Het aantal secundaire besmettingen is dus het aantal individuen dat door één iemand besmet wordt (Chen, Chio, Jou & Liao, 2009).

σ is het gemiddelde aantal adequate contacten van een besmet individu tijdens de besmettelijke periode. R is het gemiddelde aantal secundaire besmettingen van een individu tijdens de besmettelijke periode. Merk hierbij op dat op tijdstip nul R0, σ, en R gelijk zijn aan elkaar. Bij de meeste modellen wordt aangenomen dat σ constant is. R neemt af naarmate de tijd toeneemt, omdat het aantal vatbare individuen afneemt (Hethcote, 2000).

Het is belangrijk om op te merken dat er geen epidemie plaatsvindt als R0<1, aangezien de eerste besmette individu dan minder dan 1 ander individu besmet, en ook dat een epidemie afneemt zodra R<1. De waarden van R0, σ en R, maar ook β en γ kunnen per ziekte worden bepaald aan de hand van data (Hethcote, 2000).

Met behulp van wiskundige methoden kan bewezen worden dat een model zoals bovenstaand altijd een unieke oplossing heeft. Het bestaan van een unieke oplossing is belangrijk bij toepassing van het model. Niet elke uitbreiding van het model geeft een nieuw model met unieke oplossing. Een uitbreiding van SIR die wel een unieke oplossing heeft en voor het onderwerp relevant is, is SAIR, waarbij A staat voor Antidotal, een klasse die door vaccinatie immuniteit heeft verkregen, zonder geïnfecteerd te zijn geweest (Piqueira & Araujo, 2009).

Figuur 2: Schematische weergave van het SIR model. Individuen in de vatbare (S) groep worden geïnfecteerd, waardoor ze verplaatsen naar de I groep. Zo’n overgang wordt aangegeven met de pijl

van S naar I. Het wiskundige model beschrijft de overgang. Figuur samengesteld aan de hand van Hethcote (2000) en Brauer & Castillo-Chávez (2012).

Methoden

Om de onderzoeksvraag te beantwoorden zal aangegeven worden waaraan een model voor de verspreiding van een metamorf computervirus aan moet voldoen.

In de eerste deelvraag dient een verschil te worden beschreven tussen verspreidingsmodellen van traditionele computervirussen en influenza waarbij het evolutionaire aspect buiten beschouwing wordt gelaten. Dit zal worden gedaan door de verschillen te onderzoeken van de modellen van beide binnen de wetenschappelijke literatuur van KI, MI en wiskunde. Dat vereist een literatuuronderzoek binnen epidemiologische bronnen over computervirussen en influenza. De gevonden modellen zullen wij analyseren op verschillen en overeenkomsten. Door middel van dit kwalitatief literatuuronderzoek achterhalen wij welke variabelen meegenomen moeten worden in het uiteindelijke model.

Voor de tweede deelvraag wordt een verschil beschreven tussen verspreidingsmodellen van influenza zonder het evolutionaire aspect en influenza met het evolutionaire aspect meegenomen. Enerzijds zal het model worden gebruikt van de eerste deelvraag voor de influenza zonder het evolutionaire aspect anderzijds zal een nieuw model worden gevonden in de literatuur van MI dat het evolutionaire aspect van influenza meeneemt. Daarvoor zal verder kwalitatief literatuuronderzoek worden gedaan naar epidemische modellen voor influenza waarin het evolutionaire aspect wordt meegenomen. Wederom analyseren wij verschillen tussen modellen om te achterhalen welke variabelen meegenomen moeten worden in het uiteindelijke model.

Bij de derde deelvraag worden de verschillen die zijn beschreven in de eerste en tweede deelvraag gecombineerd om inzicht te verwerven in welke aspecten belangrijk zijn bij het opstellen van een nieuw model voor metamorfe computervirussen. Er zal een richtlijn gegeven worden voor het opstellen van een model voor de verspreiding van een metamorf computervirus.

Hoe de deelvragen met elkaar verbonden staan, staat schematisch weergegeven in Figuur 1.

Deelvraag 1

Hoe verschilt de toepassing van een (SIR en) SAIR model tussen traditioneel computervirus en influenza zonder de variabele evolutie.

De toepassing van een SIR en SAIR model tussen traditioneel computervirus en influenza zonder de variabele evolutie vertoont enkele belangrijke verschillen en overeenkomsten welke hieronder besproken zullen worden. Allereerst is het belangrijk te benoemen dat verschillen in definities bestaan. Een SIR model dat rekening houdt met vaccinatie heet voor computervirussen SAIR, Susceptible, Antidotal, Infected, Recoverd. Bij infectieziekten heet dit SIR met vaccinatie (Laguzet & Turinici, 2015) en staat SAIR voor Susceptible, Asymptomatic, Infected, Recovered . Dit laatste wordt in dit onderzoek niet toegepast.

Er zal eerst een bespreking van SIR voor infectieziekten worden gegeven. Hierin wordt naar de wiskunde achter SIR gekeken en de belangrijkste implicaties van de epidemiologische modellen gekeken. Vervolgens worden verschillen tussen influenza en traditionele computervirussen

besproken, waarmee rekening moet worden gehouden bij het toepassen van het SIR model op traditionele computervirussen. Als laatste zal een bespreking van een model voor een traditioneel computervirussen worden gegeven.

MODELLEN Klassiek SIR

Het eerder genoemde SIR model staat als basis voor de rest van de epidemiologische modellen die worden besproken. SIR zoals vermeld in het theoretisch kader (Hethcote, 2000) is vrijwel gelijk aan het klassieke “Kermack-McKendrick epidemisch model” - vernoemd naar zijn bedenkers (Brauer & Castillo-Chávez, 2012). In het algemeen staat R echter voor Removed in plaats van voor Recovered. Deze removal, oftewel verwijdering, kan plaatsvinden op verschillende manieren, waaronder door isolatie van de populatie, dood door ziekte, herstel van ziekte met volledige immuniteit (zoals vaak als definitie wordt genomen (Hethcote, 2000), en meer. Hoewel er epidemiologische verschillen zitten tussen de verschillende soorten removal maakt het voor het modelleren geen verschil.

Het SIR model is een goed model voor beschrijving van de verspreiding van ziekte veroorzaakt door virussen aangezien herstel van de ziekte immuniteit tot gevolg heeft, wat wordt meegenomen in het model in de R groep. Het klassieke SIR model wordt als volgt gegeven:

S’ = −βSI, I’ = βSI−αI,

R’ = αI . (Brauer & Castillo-Chávez, 2012, p 351)

Hier zijn S, I en R functies van de tijd die de grootte van bijbehorende klasse aangeven op tijdstip t. Het model heeft in de praktijk enkel betekenis als S, I en R positief zijn. In dit klassieke SIR model wordt aangenomen dat het ontstaan van een epidemie een deterministisch proces is. Voor voldoende grote populaties is de aanname van een deterministisch proces te verantwoorden, echter pas als een epidemie gestart is. Het beginnen van een epidemie in een situatie van weinig infectives tegenover veel susceptibles hangt af van kans en vraagt om een stochastisch model (Brauer & Castillo-Chávez, 2012). Deze modellen worden vanwege grotere wiskundige complexiteit niet besproken. Er moet dan namelijk naast de differentiaalvergelijkingen, ook stochastische formules en vergelijkingen worden bestudeerd.

Door te bepalen wat gebeurt met S’ en I’ bij verschillende waarden van de parameters kan bepaald worden wanneer een epidemie plaatsvindt. In dit eenvoudige SIR model vindt een epidemie plaatst wanneer de groep van infectives blijft groeien. Wiskundig gezien neemt de functie I(t) toe als de afgeleide I’(t) positief is. Er geldt I’>0 als βSI−αI>0, dus als S>β/α (aangezien alle variabelen positief zijn) (Brauer & Castillo-Chávez, 2012).

De belangrijkste implicatie van deze wiskundige analyse is de zogenaamde threshold quantity, oftewel drempelwaarde. Bij het klassieke SIR model wordt de drempelwaarde gegeven door βS0/α , waarbij S0 de grootte van de susceptible groep is op tijdstip t=0. Wanneer de drempelwaarde groter dan 1 is, blijkt dat er een epidemie plaatsvindt (in deterministische modellen met voldoende grootte van de populatie). Ligt de drempelwaarde tussen de 0 en 1, dan zal er geen epidemie plaatsvinden omdat er niet genoeg individuen geïnfecteerd worden. Deze drempelwaarde wordt ook wel aangeduid als het basic reproduction number R0. Ook voor ingewikkeldere modellen kan R0 worden gevonden. Het basic reproduction number wordt in het algemeen gedefinieerd als het aantal besmettingen veroorzaakt door een enkel besmet individu wanneer deze wordt geïntroduceerd in een volledige vatbare populatie (Brauer & Castillo-Chávez, 2012).

Om epidemieën voor infectieziekten te voorkomen is het van belang dit getal R0 te verlagen tot kleiner dan 1. Uit de definitie van R0 = βS0/α volgt dat verlaging kan door het getal S0 te verkleinen, dat wil zeggen het aantal susceptibles op tijdstip t=0 verlagen. Dit kan door een deel van de populatie immuun te maken tegen de ziekte voordat epidemie kan beginnen, bijvoorbeeld door middel van vaccinatie. Om R0<1 te verkrijgen moet bij het klassieke SIR model een fractie p>1-(1- R0) gevaccineerd worden. Hierbij wordt ervan uitgegaan dat de vaccinatie tot volledige immuniteit leidt (Brauer & Castillo-Chávez, 2012). Wanneer dit niet het geval is, maar men wel het effect van vaccinatie wil bestuderen, kan de situatie beschreven worden door de variabele vaccinatie toe te voegen aan het SIR model.

SIR met vaccinatie

Door Brauer en Castillo-Chávez (2012) wordt ook een variatie van het klassieke SIR model gegeven waarbij vaccinatie wordt meegenomen. Er wordt in dit model aangenomen dat de gevaccineerde individuen een lagere kans op besmetting hebben dan niet gevaccineerde individuen. Daarbij wordt ook aangenomen dat gevaccineerde individuen na besmetting minder besmettelijk zijn en een kortere herstelperiode hebben (Brauer & Castillo-Chávez, 2012).

Wiskundig wordt dit beschreven door in het model de susceptible en infective groep onder te verdelen in een gevaccineerd en niet-gevaccineerd deel. Zij Sv de susceptible gevaccineerden, Su de susceptible niet-gevaccineerden (van unvaccinated). Bij een perfect vaccine zijn de gevaccineerden individuen volledig immuun tegen de ziekte. In het klassieke SIR model werd de vatbaarheid (mate van infectie) van een individu aangegeven met de parameter β. In het nieuwe model wordt aangenomen dat de vatbaarheid van een gevaccineerd individu verlaagd is met een factor σ, met σ tussen 0 en 1. De vatbaarheid van een gevaccineerd individu is dan σβ. Als σ=0, dan is het individu niet vatbaar, dus volledig immuun, dus is er sprake van een perfect vaccine. Stel het vaccine is niet perfect, dan kan een gevaccineerd persoon dus wel besmet raken. Zij IV het deel van de geïnfecteerde individuen die (voor besmetting) gevaccineerd was, zij IU het deel dat voor besmetting niet gevaccineerd was. Zoals gezegd hebben de individuen in IV een lagere besmettelijkheid, verlaagd met een factor δ ten opzichte van individuen in IV; en ook een andere hersteltijd, zeg αV ten opzichte van αU voor individuen in IU (Brauer & Castillo-Chávez, 2012).

Dit geeft aanleiding tot het volgende stelsel differentiaalvergelijkingen SU’ = −βSU(IU +δIV),

SV’ = −σβSV(IU +δIV), IV’ = βSU(IU +δIV)−αUIU,

IV’ = σβSV(IU +δIV)−αVIV (Brauer & Castillo-Chávez, 2012, pg. 391)

Het reproduction number bepalen voor dit model is al veel ingewikkelder. In dit geval is de beginpopulatie (N) niet volledige susceptible, dus spreken we niet van een basic reproduction number maar van een control reproduction number. De implicatie van het getal is hetzelfde. Het doel is om een epidemie te voorkomen door het reproduction number te verlagen tot onder 1.

SIR voor influenza

Het toevoegen van vaccinatie aan het model is bijvoorbeeld van toepassing bij jaarlijkse griepepidemieën, waarvoor een vaccinatieprogramma bestaat. Om een model op te stellen voor jaarlijkse griepepidemieën kan ook specifieker naar influenza gekeken worden, wat een ingewikkelder model dan het klassieke SIR oplevert (Brauer & Castillo-Chávez, 2012).

In het algemeen bestaat een influenza-infectie uit verschillende stadia: na infectie is eerst sprake van een latente periode waarin de geïnfecteerde nog niet besmettelijk is en nog geen symptomen vertoont, vervolgens de besmettelijke periode, en de herstelde periode. De besmettelijke periode kan onderverdeeld worden in twee groepen, namelijk een groep die symptomen vertoont (Symptomatic) en een groep die geen symptomen vertoont (Asymptomatic) en ook een lagere besmettelijkheid heeft (Brauer & Castillo-Chávez, 2012).

Een model voor een algemeen influenza-epidemie ziet er dan schematisch als volgt uit:

Figuur 3: schematische weergave van een SLIAR model (Brauer & Castillo-Chávez, 2012, pg. 377). Een vatbaar individu wordt geïnfecteerd, waardoor deze verplaatst naar de latente (L) groep. Vervolgens wordt het individu besmettelijk, danwel met symptomen, L → I, danwel zonder symptomen L → A.

Door aan dit SLIAR model vaccinatie toe te voegen wordt een vollediger model gecreëerd, wat ook een ingewikkelder model is. Voor specifieke epidemieën of influenza typen kunnen preciezere modellen opgesteld worden die numeriek (met behulp van schatten van de verschillende parameters aan de hand van data) kunnen worden benaderd. Aangezien dit niet het doel van dit onderzoek is, wordt dit buiten beschouwing gelaten. In dit onderzoek wordt namelijk gekeken naar algemene modellen, die nog niet toegepast zijn op een praktijkgeval met behulp van data.

Hoewel het toevoegen van extra groepen, zoals de latente en asymptotische groep, om het model passend te maken voor influenza wel mogelijk is, zorgt het voor een ingewikkeld model: de differentiaalvergelijkingen bestaan uit meer parameters en langere vergelijkingen. Wanneer andere aspecten, zoals vaccinatie, meer van belang zijn en het doel van het model is om iets te zeggen over deze aspecten, dan kan ook gekeken worden naar een simpeler SIR model, aangezien het daarbij gemakkelijker is om wiskundige conclusies te trekken.

Voordat gekeken kan worden naar de modellen voor de verspreiding van een computervirus, is belangrijk dat eerst gekeken wordt naar de verschillen tussen een infectieziekte als influenza en een computervirus, aangezien het model voor computervirussen die wij bespreken gebaseerd is op een epidemiologisch model zoals eerder besproken. Deze verschillen zijn hieronder beschreven en nogmaals kort weergegeven in tabel 1.

VERSCHILLEN Kosten

De kosten die vaccinatieprogramma’s met zich meebrengen kunnen een dergelijke invloed hebben op het verloop van een epidemie dat deze in sommige modellen als variabele toegevoegd worden (Laguzet & Turinici, 2015). Ze hebben namelijk grote invloed op hoe goed een vaccine zich verspreid.

Kosten kunnen op verschillende manieren in modellen meegenomen worden. Laguzet & Turinici (2015) beschrijven een model waarin elk individu een vrije keus heeft om wel of niet te

vaccineren en op welk moment. Deze afweging wordt in het model gemaakt op basis van een individuele kosten-baten-analyse.

In andere modellen wordt vaccinatie bekeken als een middel van de samenleving om epidemieën tegen te gaan (Gubar, Fotina, Nikitina & Zhitkova, 2012). Deze modellen gaan ervanuit dat vaccinatie nooit volledig effectief is en dat, omdat vaccinatie erg duur is, het ook niet kosten-effectief is om de gehele populatie te vaccineren. Er is tevens al aangetoond dat vaccineren van een deel van de populatie, met name risico groepen, al een groot effect kan hebben op het tegengaan van een epidemie (Gubar et al, 2012)

De kosten van antivirus worden over het algemeen beschouwd als laag en vanuit de samenleving wordt er geen grootschalige installatie van antivirussoftware georiganiseerd. Veel gratis programma’s kunnen je computer scannen op computervirussen en verwijderen. Voor computervirus preventie is vaak abonnement nodig (Tyagi & Vyas, 2008). Tussen de 20% en 25% van de computers is niet beveiligd. Het kan zijn dat dit een gevolg is van eenzelfde soort individuele kosten-baten analyse als bij een infectieziekte vaccinatie.

Vaccinatie

Het effect van vaccineren is erg verschillend tussen infectieziekten en computervirussen. Binnen de literatuur worden dan ook verschillende modellen gebruikt om de vaccinatie te beschrijven.

Het verkrijgen van een antivirusprogramma zorgt ervoor dat de computer direct beschermd is tegen het onderzochte virus. Het maakt daarbij niet uit of de computer al is geïnfecteerd of niet (Piqueira & Araujo, 2009). Dit komt omdat wanneer een antivirus wordt geïnstalleerd op een computer, het direct controleert op de aanwezigheid van computervirussen en ze verwijdert.

Vaccinatie bij mensen is een vorm van epidemiepreventie. Vaak worden delen van de bevolking uit vrije wil gevaccineerd als een epidemie gevreesd wordt (Prosper, Saucedo, Thompson, Torres-Garcia, Wang & Castillo-Chavez, 2011). Een fundamentele eigenschap bij vaccinatie voor infectieziekten is dat dit enkel kan gebeuren bij individuen uit de susceptible klasse. Vanaf het moment dat een individu geïnfecteerd is (geweest) met een bepaalde strain, kan hiervoor niet meer gevaccineerd worden (Laguzet & Rurinici, 2015).

Het is in epidemiologische modellen voor menselijke infectieziekten dus niet mogelijk om van I, infected, naar V, gevaccineerd, te springen (Laguzet & Turinici, 2015). Wanneer een individu geïnfecteerd is geraakt met een virus, kan dit niet ongedaan gemaakt worden door te vaccineren. Het individu zal enkel door kunnen springen naar R, Recovered/Removed wanneer het overleden danwel genezen is. Er zijn ook modellen zonder aparte groep voor gevaccineerden. De R-groep bevat dan alle individuen in de populatie die immuun zijn door herstel danwel vaccinatie (Hethcote & Van Ark, 1987). Host

De individuen die in een populatie meegenomen worden kunnen erg van elkaar verschillen. Met verschillende factoren wordt rekening gehouden en andere factoren kunnen verwaarloosd worden danwel vertegenwoordigd worden door overkoepelende factoren (Victora, Huttly, Fuchs & Olinto, 1997).

Computers kunnen door hun eigenschappen incompatibel zijn met een specifiek computervirus. Meestal heeft dat te maken met de hardware of de OS van een computer (Wells, 2002). Omdat er veel verschillende redenen zijn om incompatibel te zijn, worden dergelijke aspecten meestal niet meegenomen bij de beschrijving van de verspreiding van traditionele computervirussen. De individuen die in een populatie meegenomen worden kunnen erg van elkaar verschillen. Met verschillende factoren wordt rekening gehouden en andere factoren kunnen verwaarloosd worden danwel vertegenwoordigd worden door overkoepelende factoren (Victora et al, 1997). Een

factor die veel invloed kan hebben op het verloop van een epidemie is leeftijd van de hosts (Anderson & May, 1991). Dit soort belangrijke variabelen kunnen verwerkt worden door de populatie in subpopulaties te verdelen (Laguzet & Turinici, 2015) of door ze als variabele toe te voegen (Casagrandi, Bolzoni, Levin & Andreasen, 2006).

Genetische eigenschappen van hosts kunnen ook invloed hebben op het wel of niet geinfecteerd raken (Anderson & May, 1991; Hethcote & Van Ark, 1987).

Populatie

Het afbakenen van de populatie die wordt beschreven is een belangrijk onderdeel van de epidemiologie. Bij computervirussen wordt dit op een andere manier gedaan dan bij infectieziekten.

In de literatuur wordt bij computervirussen over het algemeen gesproken over 2 verschillende populaties: Populaties met gesloten netwerken en populaties met open netwerken.

Een gesloten netwerk is (bijvoorbeeld) de computer verbinding binnen een bedrijf, waar alle computers ten alle tijden met elkaar verbonden zijn. Een open netwerk is (bijvoorbeeld) het internet, waar computers op kunnen aan- en afsluiten.

De populatie die gebruikt wordt bij epidemiologische modellen voor infectieziekten is vergelijkbaar met een gesloten netwerk bij computervirussen. Afhankelijk van de temporele duur waarover een model opgesteld wordt, spelen geboorte, sterfte en andere langzame biologische processen een rol (Laguzet & Turnici, 2015; Anderson & May, 1991). Dit wordt vital dynamics genoemd en later in dit onderzoek besproken.

Symptomen

Of een virus symptomen heeft is belangrijk voor de verspreiding. Wanneer iemand namelijk symptomen heeft zal deze anders behandeld worden dan iemand zonder symptomen.

Bij menselijke infectieziekten hangt het van het model af in hoeverre symptomen een rol spelen in het proces van spatiële epidemiologie. Bepaalde modellen houden er rekening mee dat individuen geïsoleerd kunnen worden op het moment dat zij symptomen vertonen (Prosper et al, 2011). Het kan echter ook voorkomen dat individuen geïnfecteerd zijn en vervolgens in de recovered class terechtkomen zonder ooit symptomen vertoond te hebben (Prosper et al., 2011).

Alhoewel computervirussen ook symptomen kunnen hebben, zijn worden deze niet meegenomen in de literatuur. Een virus dat automatisch reclame afspeelt heeft bijvoorbeeld een duidelijk symptoom, maar andere computers kunnen dit symptoom niet zien. Alleen door menselijk ingrijpen zullen de symptomen van een virus invloed hebben op zijn verspreiding (Gan, Yang, Liu, Zhu & Zhang, 2012).

Spatiaal heterogeen

Een populatie is niet per se homogeen verdeeld. Op sommigen plekken is het daarom sneller mogelijk om contact te krijgen met een virus dan op andere plekken. De literatuur achter computervirussen gaat hier anders mee op dan de literatuur van infectieziekten.

Populaties zijn in de praktijk vaak spatieel heterogeen. Het is belangrijk hier rekening mee te houden in het opstellen van een epidemiologisch model (Anderson & May, 1991). In de meeste ziektecompartimentmodellen wordt hier rekening mee gehouden (Earn, Dushoff, & Levin, 2002;

Hethcote & Van Ark, 1987).

Bij computervirussen daarentegen wordt over het algemeen aangenomen dat de spatiele verdeling over een netwerk homogeen is. De modellen waarin geen homogeniteit voorkomt houden rekening met zogenaamde ‘hubs’. Dergelijke modellen zijn een fundamenteel anders dan de homogene modellen (Yuan & Chen, 2008).

Uit de vergelijkende analyse blijkt dat de modellen op vele aspecten in de basis overeenkomsten hebben. Wel is het belangrijk om rekening te houden met alle naar boven gekomen verschillen in de modellen voor de verspreiding van een computervirus. Een voorbeeld van zo’n model wordt gegeven door Piqueira en Araujo (2009).

Aspect Influenza Computervirus Belang

Kosten 100% vaccinatie is niet altijd rendabel, kosten-baten-analyse in model is afhankelijk van situatie veelal niet meegenomen in modellen Regulering van vaccinatie kan verschillen

Vaccinatie Enkel preventief Preventief en

genezend Wezenlijk verschil in werking van vaccinatie

Host Leeftijd is de meest in acht genomen factor, welzijn kan invloed hebben

Besturingssysteem Subpopulaties zijn op andere factoren ingedeeld

Populatie Vital dynamics Gesloten of open netwerk

De snelheid van populatieverandering verschilt

Symptomen Eventuele isolatie bij symptomen, niet altijd symptomen

Symptomen kunnen voorkomen maar zijn niet gemodelleerd

Actie na symptomen en/of verwerking in model

Spatiaal heterogeen Veelal wordt de populatie als heterogeen beschouwd Groot verschil in modellen die homogeen of heterogeen aanhouden

Spatiele verdeling heeft grote invloed op verspreiding

Tabel 1: Aspecten die in acht genomen kunnen worden en hun belang bij de vergelijking van verspreidingsmodellen voor influenza en metamorfe computervirussen.

MODEL SAIR model

In hun onderzoek om een model voor de verspreiding van een computervirus te vinden, hebben Piqueira en Araujo (2009) een aanpassing aan het SIR model gemaakt om mee te nemen dat

computers beschermd kunnen worden met antivirussoftware. Een individu staat hier dus niet voor een persoon, maar voor een computer (Piqueira & Araujo, 2009). Het model dat zij voorstellen verdeelt de populatie in vier groepen: Susceptible,Infective, Antidotal en Removed. In dit SAIR model is dus een nieuwe groep toegevoegd, namelijk de groep computers met antivirussoftware. Verder is in dit model de definitie van Removed net anders als in het klassieke SIR van Brauer en Castillo-Chávez (2012). Piqueira en Araujo (2009) definiëren R namelijk als de groep computers die verwijderd zijn vanwege infectie of niet. Met deze verwijdering wordt niet “hersteld” bedoeld, maar hier vallen bijvoorbeeld computers onder die door het virus onbruikbaar zijn geworden. Een computer verlaat de

R klasse als deze computer gereset wordt.

Het model wordt als volgt schematisch weergegeven:

Figuur 3: SAIR model schematisch weergegeven. (Piqueira & Araujo (2009), pg. 356). Hierbij is er mogelijkheid om uit de vatbare (S) groep in de beschermde (A) groep te komen, pijl van S naar A. Ook is het mogelijk om uit de besmette (I) groep in de beschermde (A) groep te komen, pijl van I naar A. De pijl naar S, genaamd N, staat voor invoer van nieuwe computers, de pijlen uit elke groep met mu, staan voor uitvoer van computers. Deze veranderingen worden over het algemeen op 0 gezet. In dit figuur 3 zien we de overgang van S naar I en van I naar R, zoals ook bij klassiek SIR sprake van is. Daarbij is er de groep Antidotal. Vanuit zowel S als I is er een stroom naar A, in tegenstelling tot bij een model voor influenza met vaccinatie. Dit heeft te maken met het verschil tussen antivirussoftware en een vaccinatie. De pijl vanuit R naar S geeft de computers weer die gereset worden. De pijl N naar S en de pijlen μ vanuit elke groep staan voor instroom van nieuwe computers in het netwerk en uitstroom van computers uit het netwerk, respectievelijk. Omdat de werking van een virus veel sneller is dan de uitbreiding en veroudering van het netwerk, worden in dit model de waarden voor N en μ gelijkgesteld aan 0 (Piqueira & Araujo, 2009). Bij modellen voor infectieziekten wordt vaak een gelijksoortig argument voor het weglaten van Vital Dynamics (geboortes en sterftes) gegeven, namelijk dat de verspreiding van de ziekte veel sneller gaat dan het veranderen van de populatie, en

dat het tijdsbestek waarop gekeken wordt naar de ziekte relatief klein is ten opzichte van het tijdsbestek waarop geboortes en sterftes plaatsvinden.

Uit analyse van de differentiaalvergelijkingen van dit model volgt dat er als βT/δ<1 (T is hier de totale populatie), dan zal er geen epidemie ontstaan (Piqueira & Araujo, 2009). Dit is overeenkomstig met het basic reproduction number gegeven bij het klassieke SIR model. Als βT/δ>1, dan blijkt dat als er al één computer in de Antidotal klasse bevindt, de oplossingen van het model asymptotisch naar een evenwicht zonder “ziekte” gaan, wat inhoudt dat uiteindelijk het virus verdwijnt uit het netwerk (hoewel er wel een epidemie kan plaatsvinden) (Piqueira & Araujo, 2009). Dit geeft aan dat het toevoegen van een extra groep een ander verloop van de ziekte zoals beschreven door het model als gevolg heeft.

Piqueira & Araujo (2009) geven in hun onderzoek niet een basic reproduction number of een vergelijkbaar concept, maar hebben via andere wiskundige analyse bekeken wat de uitkomsten van het model zijn. In het opstellen van het model zijn al enkele van de genoemde verschillen tussen infectieziekten en traditionele computervirussen verwerkt, zoals het verschil tussen antivirussoftware en vaccinatie.

De verspreiding van influenza zonder de variabele evolutie wordt beschreven door een model waar het voor geïnfecteerden niet mogelijk is om gevaccineerd te worden. In het verspreidingsmodel van een traditioneel computervirus is dit wel mogelijk. Daarnaast kan elk mens anders reageren op een infectieziekte terwijl dit bij computers nooit wordt meegenomen in verspreidingsmodellen. Zowel infectieziekten als computervirussen kennen hun eigen vorm van heterogene verspreiding van de populatie. En alhoewel zowel computers als mensen symptomen kunnen krijgen van hun virussen, wordt dit alleen maar meegenomen in verspreidingsmodellen die infectieziekten beschrijven.

Voordat gekeken kan worden hoe de rest van de gevonden verschillen verwerkt kunnen worden in een model voor een metamorf computervirus, moeten eerst verschillende soorten modellen voor influenza besproken worden waarbij de variabele evolutie wel meegenomen wordt.

Deelvraag 2

Hoe verandert het SIR model bij inachtneming van het evolutionaire aspect van influenza?

Tijdens een influenza-epidemie kan het virus muteren en kunnen verschillende typen, ook wel strains genoemd, van het influenzavirus circuleren in een populatie (Gubar & Zhu, 2013). Wanneer bij het opstellen van een epidemiologisch model rekening gehouden wordt met het feit dat het genotype van een virus kan veranderen, moeten er enkele wijzigingen ten opzichte van het standaard model toegevoegd worden.

De verandering van het genotype van een organisme en de cumulatieve werking hiervan onder invloed van selectiedruk, wordt evolutie genoemd (Webster et al., 1992). Bij het onderzoeken van selectiedruk is het belangrijk om te weten dat een virus dat evolueert niet compleet iets anders is na een verandering. Het genotype van een virus bestaat, net als bij andere organismen, uit meerdere genen die per allel kunnen veranderen. Door verschillende soorten selectiedrukken zullen bepaalde genen sneller of juist minder snel evolueren (Webster et al., 1992). Het voorbeeld dat Webster et al (1992) geven is dat genen die coderen voor oppervlakteproteïnen onderworpen worden aan een sterke selectiedruk door antilichaampjes van het immuunsysteem van de host. Genen die coderen voor interne proteïnen hebben minder last van het immuunsysteem en zijn meer geneigd zich aan de host aan te passen. Dit resulteert erin dat oppervlakteproteïnen veel sneller evolueren en vervangen worden. Bij influenza komt deze verandering gedreven door selectiedruk veel voor en dit veroorzaakt evolutie van het virus, antigenic drift (Bush, Bender, Subbarao, Cox, & Fitch, 1999). De proteïnen die door het afweersysteem van een mens herkend worden, veranderen terwijl de interne werking hetzelfde tot soortgelijk blijft. Doordat virussen zichzelf ogenschijnlijk sterk aanpassen, kunnen deze tijdelijk ontsnappen aan het immuunsysteem van de host (Webster et al., 1992). In dit onderzoek wordt geen rekening gehouden met evolutie van losse genen. Het complete genotype wordt in acht genomen.

Voor het opstellen van een model voor de verspreiding van Influenza A, waarin rekening gehouden wordt met het feit dat dit virus onderhevig is aan evolutie, is een gedetailleerd en computationeel intensieve simulatie nodig (Truscott et al., 2011). Met een variatie op het Susceptible, Infected, Recovered (SIR) model kan rekening gehouden worden met evolutie.

Bij het klassieke SIR model, en de andere epidemiologische modellen voor influenza die we al hebben bekeken, wordt aangenomen dat individuen in de Removed/Recovered klasse volledig immuun zijn tegen het virus en dus beschermd tegen herinfectie.

Uit vergelijking van verschillende artikelen blijkt dat er op twee manieren gekeken kan worden naar de verspreiding van influenza waarbij evolutie meegenomen wordt. Ten eerste kan een langer tijdsbestek beschouwd worden, waarbij in meerdere jaren seizoensinfluenza bestudeerd wordt. Bij seizoensinfluenza is duidelijk dat men in het nieuwe “seizoen” weer opnieuw ziek kan worden van het virus. Bij vaccinatie is dan ook belangrijk dat elk jaar opnieuw gevaccineerd wordt (World Health Organization, 2017).

Verder kan er in modellen gekeken worden naar verschillende variaties van hetzelfde influenza virus die al dan niet in competitie met elkaar zijn. Hierbij wordt niet naar een ander tijdsbestek gekeken dan in de eerder bekeken modellen.

Brauer en Castillo-Chávez (2012) voegen een vorm van evolutie toe aan de modellen door het principe van tijdelijke immuniteit te bekijken. Hierbij wordt ervan uitgegaan dat een individu hersteld van ziekte na enige tijd niet langer immuun is voor het virus. Dit concept voegen ze toe aan het

klassieke SIR model door een stroom van de Removed groep naar de Susceptible groep te laten lopen. In het visuele model is dit aangegeven met een pijl van R naar S. De nieuwe differentiaalvergelijkingen zien er dan als volgt uit:

S’ = −βSI+θR I’ = βSI−αI R’ = αI−θR

Waarbij θ de snelheid van verlies van immuniteit aanduidt. Opmerkelijk is dat dit model hetzelfde basic reproduction number R0 = βS0/α als het klassieke SIR model heeft. Er ontstaat weer geen epidemie als R0<1. Een iets ander SIRS model kan echter een ander gedrag van de epidemie tot gevolg hebben (Brauer & Castillo-Chávez, 2012).

Bovenstaand model gaat uit van een exponentieel verdeelde periode van tijdelijke immuniteit. Wanneer er wordt uitgegaan van een constante periode van tijdelijke immuniteit, dat wil zeggen een hersteld individu is een periode van lengte ω immuun tegen de ziekte, waarna het individu naar de Susceptible klasse verplaatst (in differentiaalvergelijkingen wordt dit aangegeven met S’(t)= −βS(t)I(t)+αI(t−ω)

I’(t)= βS(t)I(t)−αI(t) R’(t)= αI(t)−αI(t−ω))

In dit geval volgt volgens Brauer en Castillo-Chávez (2012) uit de Hopf Bifurcatiestelling dat er een periodieke baan ontstaat in de oplossingen van S, I en R. Dat betekent dat er in het verloop van de verspreiding van het virus periodiek gedrag te zien is in het aantal besmettingen. Er ontstaan dus steeds nieuwe epidemieën. Dit is in feite wat er bij seizoensinfluenza aan de hand is. Na een constante periode is iedereen die afgelopen seizoen immuniteit tegen deze ziekte had opgelopen weer vatbaar omdat er nieuwe strains circuleren (World Health Organization, 2017).

De andere manier om evolutie mee te nemen in het model is door te kijken naar de invloed van 2 verschillende strains van het influenza virus op de epidemie, in plaats van 1 zoals bij SIR. In hun onderzoek bekijken Truscott et al (2011) 2 subtypes van influenza A die beide continu aan evolutie onderhevig zijn, zoals eerder beschreven. Om dit te verwerken in een epidemiologisch model hebben ze de populatie onderverdeeld in vier groepen: S0, S1, S2, en S12. Hierbij staat Si (i=1,2) voor het deel van de populatie dat immuun is voor subtype i. Dit werkt als volgt: Een individu in S0 is vatbaar voor beide subtypes. Wanneer dit individu besmet wordt met type 1, met een snelheid overeenkomst met dat type, verplaatst het individu zich naar S1, omdat het individu dan herstelt van type 1 dus immuniteit ontwikkelt tegen type 1. Dit wordt in figuur 4 aangeduid met de pijl van S0 naar S1. In het model wordt de mogelijkheid dat herstel van type 1 ook voor immuniteit tegen type 2 zorgt meegenomen (met kans Phi). Dit wordt aangegeven met de pijl van S0 naar S12. Verder verliest een individu met een snelheid sigma immuniteit voor een bepaald type, dus stel het individu heeft immuniteit tegen type 1, dan wordt dit aangegeven met de pijl van S1 naar S0 (Truscott et al, 2011). In dit model worden de overgangen dus anders beschreven dan in het klassieke SIR model, waarin vanaf de S groep maar één overgang mogelijk is, en er maar één S groep is.

Figuur 4: Schematische weergave van een SIRS model (Truscott et al, 2011)

In dit model wordt de populatie dus onderverdeeld in 4 verschillende “immuniteitsklassen”. Hierbij wordt geen expliciet onderscheid gemaakt tussen een besmettelijke en een herstelde periode. Uit het model blijkt dat individuen die zich bevinden in de groep S1 en S2 aldoor besmettelijk zijn voor desbetreffend subtype van het virus, en er is dus geen groep die wel hersteld is van subtype 1 (of 2) en niet langer besmettelijk is voor dat subtype, wat bij het klassieke SIR wel het geval is. Verder volgt dat alle individuen in groep S12 immuun, niet besmettelijk zijn voor één of beide van de subtypes (Truscott et al, 2011). Deze aannames van het model zijn opmerkelijk in vergelijking met het klassieke SIR model waarin een duidelijk onderscheid is tussen de besmettelijke groep (de Infectives) en de immune, niet langer besmettelijke, herstelde groep (de Recovered/Removed). Het gegeven model wordt door Truscott et al (2011) echter wel een vorm van SIRS genoemd, aangezien het concept van tijdelijke immuniteit wel verwerkt is.

Het model van Gubar en Zhu (2013) bekijkt tevens twee subtypes van influenza, op een dusdanige wijze dat het onderscheid tussen de Infectives en Recovered wel meeneemt. In dit model wordt aangenomen dat verschillende mutaties van influenza die tijdens een seizoen circuleren een ander effect hebben op de mens, en dat het verloop van de epidemie afhangt van de fitness van de verschillende types. Aan het SIR model wordt een model voor competitie tussen de twee subtypes die bekeken worden toegevoegd (Gubar & Zhu, 2013). Dit model is op basis van evolutionaire speltheorie, de details hiervan zijn niet van belang voor dit onderzoek en zullen buiten beschouwing gelaten worden. Verder wordt het SIR model aangepast door de Infective groep op te splitsen in een groep die geïnfecteerd is (en dus besmettelijk) met subtype 1, V1, en een groep die geïnfecteerd is met subtype 2. Verder zijn er nog de Susceptible en Recovered groepen. Een individu kan besmet worden

door beide typen, waarna het individu ziek wordt van één van de twee types. Wanneer een individu hersteld is van het ene type, is ook immuniteit tegen het andere type verworven. Een schematische weergave van dit model wordt gegeven in figuur 5.

Figuur 5: Model van Gubar en Zhu (2013). Aangepast om de richting van de pijlen te verduidelijken. Hierbij duiden de blauwe en groene bol met V1 en V2 het evolutionair speltheoretisch deel van het model aan. De pijlen δiIiS (i=1,2) geven de stroom van de vatbare groep naar de groep geïnfecteerd met type i aan. De pijlen σiIi geven de stroom van herstel van type i aan zonder gebruik van medicatie. De pijlen met uiIi geven de mogelijkheid om medicatie of quarantaine mee te nemen in het model. Wanneer dit niet wordt meegenomen, worden de waarden van u1 en u2 gelijkgesteld aan 0. De differentiaalvergelijkingen voor dit model worden gegeven door:

S’ = −δ1SI1 −δ2SI2, I1’ = (δ1S −σ1 − u1)I1, I2’ = (δ2S −σ2 − u2)I2, R’ = (σ1 +u1)I1 +(σ2 +u2)I2;

waarbij δi de snelheid van infectie is met type i (proportioneel aan de mate van contact tussen individuen en de overdraagbaarheid van de ziekte) en σi de snelheid van herstel (Gubar & Zhu, 2013).

Opmerkelijk is dat het concept van tijdelijke immuniteit niet verwerkt is in dit model: er is geen overgang van de Recovered groep naar de Susceptible groep.

Een model dat het evolutionaire aspect meeneemt beschouwt het als mogelijk dat er meerdere versies van hetzelfde virus circuleren, strains genoemd. Dit wordt beschreven door een SIRS model waarin een individu in de populatie immuun kan zijn voor enkele van de strains.

Er zijn verschillende manieren om de variabele evolutie mee te nemen in een model voor de verspreiding van een infectieziekte als influenza. Wanneer een model voor influenza met evolutie gegeneraliseerd wordt naar een model voor een metamorf computervirus, zal dus bekeken moeten worden welke variatie het meest geschikt is.

Deelvraag 3

Hoe kunnen we de verschillen tussen een traditioneel computervirus en influenza zonder de variabele evolutie en de verschillen tussen het niet en het wel in acht nemen van evolutie generaliseren naar een model voor verspreiding van een metamorf computervirus?

Aspect Influenza met Evolutie Metamorf Computervirus

Belang Kosten vaccinatie is niet altijd

rendabel, kosten-baten-analyse in model is afhankelijk van situatie

antivirus is niet altijd rendabel, uniforme verspreiding van antivirus

omdat antivirus niet meer altijd werkt, zullen de kosten van een metamorf virus meer lijken op die van infectieziekten dan traditionele

computervirussen. Vaccinatie Enkel preventief Preventief en genezend Het is mogelijk om als

geïnfecteerde te genezen d.m.v. vaccinatie

Host Leeftijd is de meest in acht genomen factor, welzijn kan invloed hebben

Besturingssysteem Subpopulaties zijn op andere factoren ingedeeld Populatie Vital dynamics Gesloten of open

netwerk

De snelheid van populatieverandering verschilt

Symptomen Eventuele isolatie bij symptomen, niet altijd symptomen

Symptomen kunnen voorkomen maar zijn niet gemodelleerd

Actie na symptomen en/of verwerking in model

Spatiaal heterogeen

Veelal wordt de populatie als heterogeen

beschouwd

Groot verschil in

modellen die homogeen of heterogeen

aanhouden

Spatiele verdeling heeft grote invloed op verspreiding.

Aantal subtypen

Na een mutatie worden soms meerdere versies van het virus beschreven

Er wordt slechts een virus beschreven.

Niet, een SIRS beschrijving kan alle subtypen als 1 virus te beschouwen.

Evolutie Darwiniaanse evolutie Willekeurig nieuwe generaties

De loop van evolutie is zeer verschillend

Tabel 2: aspecten die van belang zijn bij het opstellen van een verspreidingsmodel voor metamorfe computervirussen op basis van een verspreidingsmodel voor influenza

De modellen voor de verspreiding van influenza met variabele evolutie zoals besproken in deelvraag 2 zijn specifiek toegepast op de infectieziekte influenza. Wanneer men zo’n model wilt gebruiken voor het beschrijven van de verspreiding van een computervirus dus ook “onderhevig aan evolutie” is - zoals het metamorfe computervirus - dan moet ten eerste gekeken worden naar de verschillen tussen infectieziekten en computervirussen überhaupt, zoals deze besproken zijn in deelvraag 1. Er moet echter ook gekeken worden naar op welke manier de “evolutie” van het metamorfe computervirus te werk gaat. Alle belangrijke aspecten zijn samengevat in Tabel 2.

Bij de modellen voor influenza met evolutie van Truscott et al (2011) en van Gubar en Zhu (2013) wordt gekeken naar twee verschillende subtypes van het influenzavirus die tegelijk circuleren, wat gevolgen heeft voor het verloop van de epidemie. Vanwege de aard van de evolutie van het influenzavirus zijn er ook verschillende subtypes tegelijk aanwezig, omdat influenza ook tijdens een epidemie muteert (Gubar & Zhu, 2013).

Bij het metamorfe computervirus is dit echter een ander verhaal. Omdat het metamorfe computervirus wanneer het verspreidt zichzelf elke keer anders versleutelt, gaat de “originele” versie verloren, en circuleren er dus niet twee (of meer) verschillende subtypes van hetzelfde virus. Met “verloren” wordt bedoeld dat de originele versie van het virus nog wel op de eerste computer verblijft, maar nooit een exacte kopie van zichzelf naar een andere computer zal proberen te versturen.

Met de huidige technologie kan er tegen een goed ontworpen metamorf computervirus geen immuniteit ontstaan. Een computer die geïnfecteerd is met een metamorf virus kan soms hersteld worden met behulp van antivirussoftware (Dastidar, Mandal, Barbhuiya & Nandi, 2012), soms wordt een vorm van het metamorfe computervirus wel herkend door de antivirussoftware (in dit geval biedt de antivirussoftware ook bescherming tegen het virus).

De modellen op basis van verschillende subtypes van influenza, zoals eerder genoemd, zijn waarschijnlijk niet echt toepasbaar op metamorfe computervirussen. Dit is omdat elke infectie een nieuw subtype van het metamorfe virus maakt. Zo een model zou dus snel duizenden subtypen moeten betrekken. Echter, het SIRS model met tijdelijke immuniteit zoals besproken door Brauer en Castillo-Chávez (2012) zou na aanpassing in lijn met het SAIR model een redelijk geschikt model voor de verspreiding van het metamorfe computervirus zijn. Hierbij staat R niet voor Recovered, maar voor Removed, en gaan computer van de I naar de R, wanneer ze buiten werking geraken door het virus,

en van de R naar de S, wanneer ze worden gereset. Dit komt overeen met het idee van tijdelijke immuniteit, als je dit bekijkt als de periode waarin de computer niet gebruikt wordt. Wellicht kan het concept van Antidotal van Piqueira & Araujo (2009) ook verwerkt worden, wanneer je stelt dat een computer met antivirus met kans p beschermd is tegen een metamorf computervirus.

Bij het opstellen van een model voor de verspreiding van een metamorf computervirus kunnen bovenstaande suggesties in acht genomen worden. Dit zou waarschijnlijk een SIRS model zijn zoals beschreven in de vorige deelvraag. Maar de R zou niet staan voor "recovered" maar voor "removed". De enige computers die het virus niet kunnen oplopen of al zijn opgelopen, zijn computers die buiten werking zijn gegaan door het virus.

Conclusie

Voor de conclusie zullen de conclusies die in de drie deelvragen gegeven zijn, vergeleken worden met de oorspronkelijke hypotheses. Dan zal de hoofdvraag worden beantwoord.

Hoe verschilt de toepassing van een (SIR en) SAIR model tussen traditioneel computervirus en influenza zonder de variabele evolutie?

De hypothese was dat: "De aard van het internet maakt dat computervirussen zich sneller verspreiden dan infectieziekten. Daarnaast kunnen computers elk moment van het internet af, dus kunnen ze niet geïnfecteerd worden. Mensen kennen niet zo’n zelfde situatie."

Deze hypothese bleek het aantal verschillen te hebben onderschat.

Hoe verandert het SIR model bij inachtneming van het evolutionaire aspect van influenza?

De hypothese was: "Doordat een drager van influenza wel weer vatbaar kan worden voor een gemuteerde influenza variant kan een SIRS model beter deze verspreiding te beschrijven. Een SIRS model is een variatie op het SIR model waarbij rekening gehouden wordt met de variabele evolutie.”

Deze hypothese bleek te kloppen.

Hoe kunnen de verschillen tussen een traditioneel computervirus en influenza zonder de variabele evolutie en de verschillen tussen het niet en het wel in acht nemen van evolutie gebruikt worden bij het opstellen van een model voor verspreiding van een metamorf computervirus?

De hypothese was: "Een model voor een metamorf computervirus is een SIRS model waarbij computers elk moment in een R staat kunnen komen, maar vanuit daar met een constante stroom in de S staat komen. Dit volledige proces gaat sneller dan bij infectieziekten vanwege de aard van het internet."

De hypothese is correct in het SIRS model, maar interpreteert de R als recovered, en niet als removed.

Hoe kan een model voor de verspreiding van een metamorf computervirus gerealiseerd worden door evaluatie van de verschillen tussen verspreidingsmodellen voor infectieziekten en traditionele computervirussen?

Een model voor een metamorf virus zal de verschillen tussen een traditioneel computervirus en een infectieziekten moeten meenemen. Dit is voornamelijk het feit dat vaccinatie bij een traditioneel computervirus ook als medicatie dient, maar bij infectieziekten werkt uitsluitend als

preventief middel. Daarnaast zal een metamorf virus evolutionaire aspecten uit de infectieziekten moeten meenemen. De belangrijkste hiervan is dat een vaccinatie niet altijd een virus kan tegenhouden.

Discussie

Binnen de literatuur van de epidemiologie komen veel verschillende modellen voor die allemaal een ander specifiek aspect van virussen meenemen in hun beschrijving. Elk nieuwe aspect dat wordt meegenomen maakt het model nauwkeuriger, maar ook ingewikkelder. Tijdens het onderzoek is het dus ook lastig geweest om in te schatten welke aspecten wel meegenomen moesten worden en welke niet.

Ook in de literatuur was dit dilemma vaak te vinden: veel artikelen benoemen vaak een paar aspecten, maar nemen een hoop daarvan bewust niet mee omdat ze moeilijk te meten of te modelleren zijn. In ons onderzoek hebben we de nadruk gelegd op aspecten die met immuniteit en vaccinatie te maken hadden. Maar het zou dus kunnen dat daardoor andere belangrijke aspecten niet zijn meegenomen.

Daarnaast lopen soms de epidemiologie van de computervirussen en de epidemiologie van infectieziekten volledig langs elkaar heen. Beiden kennen een SAIR model, maar bij computervirussen staat SAIR voor Susceptible, Antidotal, Infected, Removed en bij infectieziekten voor Susceptible, Asymptomatic, Infected, Recovered. Waarbij beide modellen dus dezelfde naam dragen, maar volledig andere aspecten beschrijven.

In dit onderzoek zijn met name de verschillen tussen modellen voor infectieziekten en computervirussen onderzocht door vergelijkend onderzoek. Ook is gekeken naar wat er verandert aan een model als evolutie wordt meegenomen. Aan de hand hiervan is duidelijk geworden welke aspecten kunnen worden meegenomen bij het opstellen van een epidemiologisch model, en welke aspecten belangrijk zijn om mee te nemen.

Voor een vervolgonderzoek kunnen de differentiaalvergelijkingen worden opgesteld voor het SIRS model van een metamorf computervirus. Uit die vergelijkingen kunnen dan de equilibria worden berekend. Daarnaast is het erg interessant om de modellen die in dit onderzoek zijn gebruikt in te vullen en te controleren of de beschreven verschillen zichtbaar worden bij het simuleren.

Literatuurlijst

Andersen, R. (2017, 17 juli). Verzekeraar: volgende cyberaanval kan leiden tot meer economische schade dan ernstige natuurramp, Volkskrant.

Anderson, R. M. & May, R. M., (1991). Infectious diseases of humans: dynamics and control (Vol. 1). Oxford: Oxford university press.

Bist, A. S. (2014, September). Detection of metamorphic viruses: A survey. In Advances in Computing, Communications and Informatics (ICACCI, 2014 International Conference on (pp. 1559-1565). IEEE.

Bush, R. M., Bender, C. A., Subbarao, K., Cox, N. J., & Fitch, W. M. (1999). Predicting the evolution of human influenza A. Science, 286(5446), 1921-1925.

Butler, D. (2014, 27 maart). Mutations explain poor showing of 2012 flu vaccine.

Opgevraagd op 20 september 2017 van https://www.nature.com/news/mutations-explain-poor-showing-of-2012-flu-vaccine-1.14940

Brankston, G., Gitterman, L., Hirji, Z., Lemieux, C. & Gardam, M. (2007). Transmission of influenza A in human beings. The Lancet infectious diseases, 7(4), 257-265.

Brauer, F., & Castillo-Chávez, C. (2012). Mathematical models in population biology and

epidemiology. https://doi.org/10.1007/978-1-4614-1686-9

Casagrandi, R., Bolzoni, L., Levin, S. A., & Andreasen, V. (2006). The SIRC model and influenza A. Mathematical biosciences, 200(2), 152-169.

CBS (2017). Cybersecuritymonitor 2017: Een eerste verkenning van dreigingen, incidenten en maatregelen. Opgevraagd op 21 september 2017, van

https://www.cbs.nl/nl-nl/publicatie/2017/06/cybersecuritymonitor-2017

Chen, S. C., Chio, C. P., Jou, L. J. & Liao, C. M. (2009). Viral kinetics and exhaled droplet size affect indoor transmission dynamics of influenza infection. Indoor air, 19(5), 401-413.

Coburn, B. J., Wagner, B. G. & Blower, S. (2009). Modeling influenza epidemics and pandemics: insights into the future of swine flu (H1N1). BMC Medicine, 7, 30.

http://doi.org/10.1186/1741-7015-7-30

Dastidar, S. G., Mandal, S., Barbhuiya, F. A., & Nandi, S. (2012). Detecting Metamorphic Virus Using Hidden Markov Model and Genetic Algorithm. In Proceedings of the

International Conference on Soft Computing for Problem Solving (SocProS 2011) December 20-22, 2011 (pp. 305-315). Springer, India.

Earn, D. J., Dushoff, J., & Levin, S. A. (2002). Ecology and evolution of the flu. Trends in

Gan, C., Yang, X., Liu, W., Zhu, Q., Jin, J. & He, L. (2014). Propagation of computer virus both across the Internet and external computers: A complex-network approach.

Communications in Nonlinear Science and Numerical Simulation, 19(8), 2785-2792. Gan, C., Yang, X., Liu, W., Zhu, Q., & Zhang, X. (2012). Propagation of computer virus under human intervention: a dynamical model. Discrete Dynamics in Nature and Society, 2012.

Grassly, N. C. & Fraser, C. (2008). Mathematical models of infectious disease transmission. Nature Reviews Microbiology, 6(june). https://doi.org/10.1038/nrmicro1845

Gubar, E. & Zhu, Q. (2013, July). Optimal control of influenza epidemic model with virus mutations. In Control Conference (ECC), 2013 European (pp. 3125-3130). IEEE.

Gubar, E., Fotina, L., Nikitina, I. & Zhitkova, E. (2012). Two Models of the Influenza Epidemic. Contributions to Game Theory and Management, 5, 107–120.

Hethcote, H. W., & Van Ark, J. W. (1987). Epidemiological models for heterogeneous populations: proportionate mixing, parameter estimation, and immunization programs.

Mathematical Biosciences, 84(1), 85-118.

Hethcote, H. W. (2000). The Mathematics of Infectious Diseases, Society for Industrial and Applied Mathematics, 42(4), 599–653. https://doi.org/10.1137/S0036144500371907

Laguzet, L., & Turinici, G. (2015). Individual vaccination as Nash equilibrium in a SIR model with application to the 2009–2010 influenza A (H1N1) epidemic in France. Bulletin of

mathematical biology, 77(10), 1955-1984.

Masuda, N. & Holme, P. (2013). Predicting and controlling infectious disease epidemics using temporal networks. F1000prime reports, 5.

Mousavi, S. A., Rad, B. B. & Wah, T. Y. (2016, September). Systems in Danger: A Short Review on Metamorphic Computer Viruses. In The Third International Conference on Digital Security and Forensics (DigitalSec2016) (p. 20).

Piqueira, J. R. C., & Araujo, V. O. (2009). A modified epidemiological model for computer viruses. Applied Mathematics and Computation, 213(2), 355-360.

Prasad, T. S. & Kisore, N. R. (2015). Application of Hidden Markov Model for classifying metamorphic virus. Advance Computing Conference (IACC), 2015 IEEE International (pp. 1201-1206). IEEE.

Prosper, O., Saucedo, O., Thompson, D., Torres-Garcia, G., Wang, X., & Castillo-Chavez, C. (2011). Modeling control strategies for concurrent epidemics of seasonal and pandemic H1N1 influenza. Mathematical Biosciences and Engineering, 8(1), 141-170.

RIVM, (2011, 19 juli). Waarom elk jaar een griepprik? Opgevraagd op 20 september 2017 van