基于事件序列的蠕虫网络行为分析算法

蠕虫以及其他一些恶意代码的更新速度越来越快，如何快速有效地分析大量恶意样本成为网络安全研究的一个问题. 因此提出了一种基于事件序列的蠕虫网络行为自动分析算法. 该算法依靠在实验环境中采集的纯净恶意流量，通过使用数据流的压缩归并等方法获取网络行为的基本轮廓以及网络特征码. 该算法的使用可以加快蠕虫等恶意代码的分析速度，提高防火墙以及网络入侵检测系统的配置效率.     

多源流量特征分析方法及其在异常检测中的应用

针对不同的网络攻击会造成不同流量特征的变化,单一的网络流量特征难以全面检测网络异常的缺陷,提出了一种多源流量特征分析方法.通过选取一组网络流测度,分析其分布特征并采用雷尼信息熵方法进行多源流量特征融合以实现对网络异常行为的全面检测.基于真实网络流量的实验结果表明,提出的网络异常行为检测方法实现简单、计算量小、检测精度高,可适用于大规模网络,能有效检测已知及未知异常.     

一种基于NetFlow的网络蠕虫检测算法

为了论证网络传播蠕虫时将出现网络流量的异常特征的现象,分析了网络蠕虫的工作机制和扫描策略,提出了基于N etF low流信息检测网络蠕虫的检测方案,设计了一种检测网络蠕虫的逐步求精三级算法NDW(N etF low based detecting w orm)。算法通过依次检测主机总流量、特征端口和行为规律,快速有效地定位和判断异常主机。理论分析表明,该算法的时间复杂性不大于H(εM O)(1))。实验结果表明,算法能够有效、准确地发现被网络蠕虫感染的主机。     

基于时间特征的网络流量异常检测

为了解决传统网络管理方法不能适应网络复杂性、不能准确刻画网络异常行为的问题.采用一种基于时间特征的网络流量异常检测模型,研究分析网络流量的变化规律.利用指数平滑预测算法对未来网络流量进行预测,利用中心极限定理并结合实际经验确定动态的网络流量阈值,对当前和未来的网络流量异常进行检测.研究结果表明:当网络流量发生异常时,该模型能够进行有效的检测,能准确地描述网络的运行状况.该算法提高了网络流量检测的智能性,具有较高的实用价值.     

两种基于统计的入侵检测技术

异常检测是防范新型攻击的基本手段.使用两种基于统计的异常检测技术检测网络入侵,一种是基于最大熵原理先从理论上得到正常用户行为的概率分布,然后再设定检测阈值;另一种是基于K-近邻算法,该算法不需要预先知道分布,也能很好地完成异常检测的任务.最后使用DARPA 99的部分入侵测试数据对两种方法进行了测试,并对它们的优缺点进行了比较.     

应用交互式网络流模型的高速网络异常行为检测与控制

针对网络异常流量的检测与定位问题,提出了一种根据网络流统计量异常变化和不完整网络流来有效识别并定位网络异常流量的方法.该方法建立在交互式网络流模型的基础上,分析了交互式网络流模型下各种网络流的交互特征;为准确实时获取网络异常源,采用中国余数定理,设计了连接度sketch结构中的哈希函数,满足了网络用户信息逆向求解的需要,实现了高速网络中异常网络流特征参数的实时获取;为减缓网络异常行为的扩散速度,提出采用动态软隔离方法实现网络异常行为的控制.真实环境下的实验结果表明,所提方法对于多种类型的网络异常行为具有良好的检测效果,检测的准确率和速率都得到了提高,同时可以准确地定位网络异常源,为有效控制网络异常行为的扩散奠定了基础.     

一种基于大型企业网的蠕虫早期实时检测方法

随着计算机网络的迅速膨胀,网络蠕虫攻击成为目前影响企业网络安全的一个重要问题。实时监视企业网的内外网络蠕虫和扫描攻击,特别是在蠕虫传播的早期检测到蠕虫。采取相应的防御措施,减少蠕虫传播和攻击扫描造成的损失变得尤为重要。提出了一种在企业网中早期的蠕虫检测算法。通过在Linux的平台下已实现的原型系统,验证了该算法的实时性和有效性。实验表明,当企业网感染了少量的魔波蠕虫时,该算法检测到该蠕虫,并获取了其传播特征以进行预警。     

一种高效的蠕虫动态防御抑制策略

通过对目前几种蠕虫抑制策略的分析比较,提出了一种新的高效的动态防御蠕虫抑制策略--DDWC,论证了这种策略对快速和慢速蠕虫抑制的有效性;同时分析了正常网络行为对抑制策略的影响,大大降低了DDWC策略的误报率. 仿真结果证明经过改进的两轮抑制算法策略能够高效地抑制快速和慢速蠕虫,同时具有较好的低误报性.     

复合式入侵检测方法的研究

所提出的复合式入侵检测算法是基于行为建模算法和模式匹配算法两种入侵检测算法的有效结合,其中行为建模算法扩展了基于异常的入侵检测算法,而模式匹配算法完全实现了基于特征的入侵检测算法.自适应的行为建模算法根据用户的行为和程序的行为建立合法的行为模板,而不需要任何人工干预.两种入侵检测算法能够有效的降低误报率的发生.采用Servlet Filter技术的安全代理是一个具有一定入侵分析功能的智能插件.     

网络入侵的聚类算法研究与实现

入侵检测中对知入侵的检测主要由异常检测完成,传统的异常检测方法需要构造一个正常行为特征轮廓的参考模型,但建立该特征轮廓和确定异常性报警的门限值都比较困难,而且建立该特征轮廓使系统开销大.据此本文提出一种针对入侵检测的聚类算法和一种数据处理方法.该算法通过动态更新聚类中心和类内最大距离实现,收敛速度快,再结合对数据的预处理使聚类效果更好.实验结果表明,此算法用于以未知入侵检测为代表的特殊模式检测方面是可行和有效的.