基于系统调用的主机安全分析

入侵检测是一种积极主动的网络系统安全防护技术,提供了对内部攻击、外部攻击和误操作的实时保护。系统调用是用户程序和操作系统之间交互的接口,基于系统调用的入侵检测,就是针对主机的系统调用数据进行监控和分析的技术。基于系统调用序列的主机入侵检测技术具有准确率高、误报率低和稳定性好的特性,是开发入侵检测系统的一个很好的选择。主要从异常检测出发,利用两种不同分析方法,分别对基于系统调用序列的主机入侵检测进行较为深入的研究,并分析和验证了两种方法各自的优点和不足。     

基于主机系统调用的*nix入侵检测技术的研究

本文首先介绍了主机系统调用的概念,在基于主机的入侵检测的基础之上强调了考察系统调用的 重要性。然后分析和比较了常用的三种基于主机系统调用的*nix入侵检测技术。最后还给出了基于主机系统 调用的入侵检测的优缺点。     

基于系统调用参数的入侵检测方法

基于系统调用序列的入侵检测系统没有考虑所有的系统调用特性,导致一些新型的攻击行为通过伪装能绕过基于系统调用序列的入侵检测系统的检测。针对上述攻击行为,提出一种基于系统调用参数的入侵检测系统模型。实验结果表明,该系统对伪装的系统调用有很高的检测率。     

基于系统调用的异常入侵检测研究

基于时序、频率等特性,系统调用序列已成为基于主机的入侵检测系统重要的数据源之一。通过分析系统调用序列来判断入侵事件,具有准确性高、误警率低和稳定性好等优点,目前,国际上在这方面的研究主要集中在如何设计有效的检测算法以提高检测效果。该文对目前国际上基于系统调用的异常入侵检测方面的研究进展进行了总结,对主要的检测技术进行了详细讨论和分析。     

基于主机系统调用的＊nix入侵检测技术的研究

本文首先介绍了主机系统调用的概念，在基于主机的入侵检测的基础之上强调了考察系统调用的重要性。然后分析和比较了常用的三种基于主机系统调用的*nix入侵检测技术。最后还给出了基于主机系统调用的入侵检测的优缺点。     

数据挖掘技术在异常检测中的应用

入侵检测技术已经成为网络安全领域的研究热点。本文介绍了入侵检测中的数据挖掘技术及其应用,并阐述了基于系统调用和数据挖掘算法的异常入侵检测系统的设计与实现。     

一种基于应用程序的入侵检测系统模型

入侵检测是当前网络安全领域研究的重要内容之一。本文分析了基于应用程序的入侵检测系统的重要性和优点,提出了一种针对应用程序的基于系统调用的入侵检测模型。该模型可以发现已知的和未知的滥用入侵和异常入侵活动,具有自学习、自完善功能。     

一种基于应用程序的入侵检测系统模型

入侵检测是当前网络安全领域研究的重要内容之一.本文分析了基于应用程序的入侵检测系统的重要性和优点,提出了一种针对应用程序的基于系统调用的入侵检测模型.该模型可以发现已知的和未知的滥用入侵和异常入侵活动,具有自学习、自完善功能.     

基于LDA模型的主机异常检测方法

基于系统调用序列的入侵检测是分析主机系统调用数据进而发现入侵的一种安全检测技术,其关键技术是如何能够更准确地抽取系统调用序列的特征,并进行分类。为此,引进LDA(Latent Dirichlet Allocation)文本挖掘模型构建新的入侵检测分类算法。该方法将系统调用短序列视为word,利用LDA模型提取进程系统调用序列的主题特征,并结合系统调用频率特征,运用kNN(k-Nearest Neighbor)分类算法进行异常检测。针对DAPRA数据集的实验结果表明,该方法提高了入侵检测的准确度,降低了误报率。     

利用KNN算法实现基于系统调用的入侵检测技术

该算法来自一种文本分类算法-KNN算法,文中给出了用该算法实现的入侵检测系统模型.利用该算法实现的基于系统调用的异常入侵检测系统,克服了传统基于系统调用入侵检测方法的缺陷,实验结果体现了该方法的有效性和检测的高效性。     

基于免疫原理与粗糙集理论的入侵检测方法

针对目前基于进程系统调用的入侵检测方法中存在的问题,提出了一种基于免疫原理与粗糙集理论的入侵检测方法。该方法在对系统调用序列中的循环序列进行置换的基础上,借助于粗糙集理论,提取出一个简单的最小预测规则模型;同时融合免疫原理的有关机制,在检测模型中加入对已知入侵的快速检测引擎。同其他方法相比,该方法不需要完备的进程系统调用数据,而且得到的规则简单,更适用于实时检测。实验结果表明,该方法的检测效果优于同类的其他方法。     

NetHost-sensor: Monitoring a target host's application via system calls

Intrusion detection has emerged as an important approach to network, host and application security. Network security includes analysing network packet payload and other inert network packet profiles for intrusive trends; whereas, host security may employ system logs for intrusion detection. In this paper, we contribute to the research community by tackling application security and attempt to detect intrusion via differentiating normal and abnormal application behaviour. A method for anomaly intrusion detection for applications is proposed based on deterministic system call traces derived from a monitored target application's dynamic link libraries (DLLs). We isolate associated DLLs of a monitored target application; log system call traces of the application in real time and use heuristic method to detect intrusion before the application is fully compromised. Our investigative research experiment methodology and set-up are reported, alongside our experimental procedure and results that show our research effort is effective and efficient, and can be used in practice to monitor a target application in real time.     

基于系统调用的软件行为模型

由于系统调用信息可以在一定程度上反映程序的行为特性,因此利用系统调用来对程序行为进行建模是目前入侵检测领域的研究热点。以静态建模、动态建模和混合建模这3种不同的建模方式为切入点,按照时间顺序将基于系统调用的软件行为模型的发展划分为3个阶段:初期阶段、发展阶段和综合发展阶段。然后剖析了各阶段内的模型的发展轨迹以及它们之间的内在联系,并对它们做了横向对比分析。研究表明,基于系统调用的软件行为建模技术的发展趋势应是结合静态和动态建模技术以及结合系统调用的控制流信息和数据流信息,并综合考虑其他实时信息,如环境变量和上下文信息等,开发出检测能力更强、完备性更高以及实际可行性高的软件行为模型。     

基于支持向量机的无线传感器网络的入侵检测系统

无线传感器网络入侵检测方法是目前的研究热点。在介绍支持向量机(SVM)原理、无线传感器网络的入侵类型以及不同类型所具有的数据特性的基础上,提出了一种基于SVM的无线传感器网络的入侵检测系统,该系统把网络拓扑分为簇成员、簇头和Sink三层结构,每层均能根据SVM的训练结果进行入侵检测的判断。实验结果表明:该检测系统具有较高的检测率和较低的能量消耗。     

一种基于支持向量机的入侵检测模型

支持向量机(support vector machines)是一种建立在统计学习理论基础之上的机器学习方法。基于支持向量机在处理小样本、高维数及泛化能力强等方面的优势,该文提出了一种根据结构风险最小化原则基于支持向量机的入侵检测系统,首先简单介绍了入侵检测系统近来的发展状况和支持向量机的分类算法,然后给出以支持向量机分类算法为基础的入侵检测模型,以系统调用执行迹进行仿真实验,详细讨论了该模型的工作过程及核函数参数的选取对检测性能的影响。实验表明,该模型在先验知识较小的情况下,能够较好的检测出异常的入侵调用。     

基于IPv6的入侵检测与防火墙联动系统

网络安全中入侵检测与防火墙的联动是研究的热点,目前已经实现的联动系统多局限于IPv4网络,该文基于IPv6网络的防火墙和入侵检测系统,提出一种分布式的网络安全防护体系,通过设置入侵检测代理和集中控制服务器,分析检测到的入侵状况信息后主动调整防火墙的规则策略,实现支持IPv6/IPv4双协议的入侵检测与防火墙动态联动。测试结果表明,系统有效可靠。     

一个基于系统调用的主机入侵检测系统的传感器实现方案

linux系统调用信息对于描述主机系统的安全状态有重要的作用,论文分析了linux系统调用信息在入侵检测中的应用;阐述了入侵检测系统HostKeeper中系统调用传感器的原形框架、软件设计和实现方法;并给出了利用linux系统调用信息进行入侵检测的实验结果。     

基于Windows Native API序列的系统行为入侵检测

针对Windows系统入侵检测的不足,研究并借鉴Linux下基于系统调用序列进行入侵检测的方法,提出一种采用BP神经网络算法对Windows Native API序列学习和分类的内核级主机入侵检测方案。通过实验,验证了采用Windows Native API序列进行系统入侵的可行性。Native API是Windows系统内核模式下的API,可以类比于Linux下的系统调用。通过训练神经网络学习Native API序列,建立一个对正常和异常Native API序列进行分类的BP神经网络。在入侵检测时,利用训练后的神经网络对不断出现的Windows Native API 序列进行分类,判断系统是否出现异常入侵。     

基于支持向量机的入侵检测系统

目前的入侵检测系统存在着在先验知识较少的情况下推广能力差的问题.在入侵检测系统中应用支持向量机算法,使得入侵检测系统在小样本(先验知识少)的条件下仍然具有良好的推广能力.首先介绍入侵检测研究的发展概况和支持向量机的分类算法,接着提出了基于支持向量机的入侵检测模型,然后以系统调用执行迹(system call trace)这类常用的入侵检测数据为例,详细讨论了该模型的工作过程,最后将计算机仿真结果与其他检测方法进行了比较.通过实验和比较发现,基于支持向量机的入侵检测系统不但所需要的先验知识远远小于其他方法,而且当检测性能相同时,该系统的训练时间将会缩短.     

基于HMM的系统调用序列异常入侵检测

本文首先介绍了入侵检测的发展状况,接着用马尔可夫和BW算法进行建模;然后以系统调用执行迹这类常用的入侵检测数据为例,验证该模型的工作效果,最后将计算机仿真结果与其他检测方法进行了比较。通过实验和比较发现,基于HMM的系统调用序列的异常检测率比其他方法有明显的提高。