多手段融合的网络攻击行为检测技术

本文分析了网络攻击行为检测现状,以及现有检测方法存在的不足,在此基础上分析了网络攻击行为特点,提出了网络数据流的应用分类技术、网络行为特征的恶意代码检测技术、协同攻击行为特征检测技术相结合的网络攻击行为检测方法。     

基于纹理指纹的恶意代码变种检测方法研究

提出一种基于纹理指纹的恶意代码特征提取及检测方法,通过结合图像分析技术与恶意代码变种检测技术,将恶意代码映射为无压缩灰阶图片,基于纹理分割算法对图片进行分块,使用灰阶共生矩阵算法提取各个分块的纹理特征,并将这些纹理特征作为恶意代码的纹理指纹;然后,根据样本的纹理指纹,建立纹理指纹索引结构;检测阶段通过恶意代码纹理指纹块生成策略,采用加权综合多分段纹理指纹相似性匹配方法检测恶意代码变种和未知恶意代码;在此基础上,实现恶意代码的纹理指纹提取及检测原型系统。通过对6种恶意代码样本数据集的分析和检测,完成了对该系统的实验验证。实验结果表明,基于上述方法提取的特征具有检测速度快、精度高等特点,并且对恶意代码变种具有较好的识别能力。     

一种高效的面向虚拟桌面恶意代码检测机制简

 与传统的恶意代码检测方式相比,面向虚拟桌面的恶意代码检测方法面临着性能方面的挑战,同一物理服务器上多个虚拟桌面同时开展恶意代码检测使得磁盘等硬件成为严重的IO性能瓶颈.本文提出了一种高效的虚拟桌面恶意代码检测方案,基于母本克隆技术的虚拟桌面恶意代码检测机制（MCIDS）,MCIDS根据虚拟桌面系统的特点,通过系统映像网络存储克隆技术以及部署在网络存储系统中的恶意代码引擎减少虚拟桌面系统中的恶意代码检测范围,有效减少恶意代码检测所需的磁盘IO开销;同时MCIDS还克服了传统“Out-of-the-Box”安全检测机制存在的语义差别问题,改善了系统的安全性能.在原型系统上的实验显示该方法在技术上是可行的,与现有方法相比MCIDS具有较好的性能优势.     

一种高效的面向虚拟桌面恶意代码检测机制

与传统的恶意代码检测方式相比,面向虚拟桌面的恶意代码检测方法面临着性能方面的挑战,同一物理服务器上多个虚拟桌面同时开展恶意代码检测使得磁盘等硬件成为严重的IO性能瓶颈.本文提出了一种高效的虚拟桌面恶意代码检测方案,基于母本克隆技术的虚拟桌面恶意代码检测机制(MCIDS),MCIDS根据虚拟桌面系统的特点,通过系统映像网络存储克隆技术以及部署在网络存储系统中的恶意代码引擎减少虚拟桌面系统中的恶意代码检测范围,有效减少恶意代码检测所需的磁盘IO开销;同时MCIDS还克服了传统"Out-of-the-Box"安全检测机制存在的语义差别问题,改善了系统的安全性能.在原型系统上的实验显示该方法在技术上是可行的,与现有方法相比MCIDS具有较好的性能优势.     

基于恶意样本分析检测的沙箱技术研究

以不同恶意代码静态分析、行为特征、网络通联为底层模型和实现机制，研究一种基于样本行为特征分析的本地杀沙箱技术平台，解决传统互联网检测平台存在的保密性、时效性、准确性问题。通过分析关键函数、网络流量等特征，实现样本静态检测、行为分析、网络通联等功能，支撑安全研究人员对样本安全性进行研判。     

基于遗传算法的恶意代码对抗样本生成方法

机器学习已经广泛应用于恶意代码检测中,并在恶意代码检测产品中发挥重要作用。构建针对恶意代码检测机器学习模型的对抗样本,是发掘恶意代码检测模型缺陷,评估和完善恶意代码检测系统的关键。该文提出一种基于遗传算法的恶意代码对抗样本生成方法,生成的样本在有效对抗基于机器学习的恶意代码检测模型的同时,确保了恶意代码样本的可执行和恶意行为的一致性,有效提升了生成对抗样本的真实性和模型对抗评估的准确性。实验表明,该文提出的对抗样本生成方法使MalConv恶意代码检测模型的检测准确率下降了14.65%;并可直接对VirusTotal中4款基于机器学习的恶意代码检测商用引擎形成有效的干扰,其中,Cylance的检测准确率只有53.55%。     

一种语义感知的多态攻击签名产生方法

针对传统串模式挖掘与匹配技术难以生成有效的多态攻击签名。文章提出了一种语义感知方法。它在传统方法基础上,分析多态引擎特征,利用静态数据流分析提取不变语义代码,并基于特征分类生成二层多态签名。同时,它包含代码的多态语义与串模式。与已有方法的实验比较表明,该方法能有效降低签名的虚警率和漏报率。     

基于行为分析的木马检测系统设计与实现

随着近年来网络技术的飞速发展,安全问题日益突出,病毒、木马、后门程序等恶意代码层出不穷,重大经济损失事件及重要泄密事件频频发生。传统的代码检查技术主要依靠特征码,静态分析等手段,对分析者的技术要求高,效率较低,难以实现批量检查。针对这些缺点,本文提出一种基于行为分析的木马检测技术,通过记录应用程序的动态行为,综合恶意代码的API调用序列,功能性行为特征、隐藏性行为特征、Rootkit行为特征等作为判别依据,分析其恶意危害性;同时给出详细的分析报告及关键行为记录,方便对恶意代码的手动查杀及深入分析。实验表明本文提出的检测方案能够有效地检测已知或未知的恶意代码,提高木马的检测准确率和检测效率,达到预期的研究目的。     

恶意代码异常检测系统的需求分析与架构设计

目前互联网恶意代码已经泛滥,各类检测工具和安全产品相继问世,但层出不穷的恶意代码依然不能完全被检测出来,并且恶意代码特征的检测会导致系统的处理速度越来越慢,影响了检测工作的效率。针对这一问题,文章提出了以异常检测规则精炼特征检测的方式,打破了传统的一条或者多条规则对应一条恶意代码的检测模式,而Apriori的关联规则分析算法的优势就在于可以在恶意代码发现之前就进行异常检测,更为高效和精准。     

一种抗混淆的恶意代码变种识别系统

恶意代码变种是当前恶意代码防范的重点和难点.混淆技术是恶意代码产生变种的主要技术,恶意代码通过混淆技术改变代码特征,在短时间内产生大量变种,躲避现有基于代码特征的恶意代码防范方法,对信息系统造成巨大威胁.本文提出一种抗混淆的恶意代码变种识别方法,采用可回溯的动态污点分析方法,配合触发条件处理引擎,对恶意代码及其变种进行...     

一种基于高聚集链路测量的网络级别OD流异常检测框架

绝大多数网络异常事件会对网络中的一定空间范围造成影响,形成分布式流量异常,其异常流量模式通常体现在网络级别源到端(OD)流的某些特征参数上.OD流很难直接测量得到,需通过高聚集链路测量反演技术推测,然而反演误差将直接影响下一步基于特征参数的异常诊断.本文提出了一种直接由链路测量进行OD流异常检测的框架,该框架采用RMLP神经网络,并加入部分OD流估计值作为约束输入,实现了由链路测量对OD流级别特征参数的估计.该方法的优点是检测过程不再完全依赖链路到OD流的估计,解决了反演误差影响检测的问题,并且该框架允许链路流量到多种OD流特征参数的估计.     

基于RFNN的复杂机动事件检测方法

针对态势评估中复杂机动事件检测的精度及实时性问题,提出了基于粗糙集-模糊神经网络(RFNN)的事件检测方法,通过粗糙集理论获取数据样本中的最简规则集,然后根据这些规则构造模糊神经网络各层的神经元个数及相关参数初始值,最后用BP算法迭代求出网络的各种参数.仿真结果证明RFNN用于复杂机动事件检测的有效性,同时可以发现其在...     

监听与网络数据安全浅析

网络监听一直威胁着计算机网络数据信息的安全。从网络数据安全需要注意的几个方面出发,针对网络监听对计算机网络可能造成的数据安全隐患,基于网络监听技术的机理,探讨了通过主机参数设置和监听规则的配置来实施监听的方法。就如何检测网络监听进行了分析,给出了防范网络监听的一些主要措施。     

The WINLAB Network Centric Cognitive Radio Hardware Platform—WiNC2R

This paper presents the design goals and architecture of WiNC2R—the WINLAB Network Centric Cognitive radio hardware platform. The platform has been designed for flexible processing at both the radio physical layer and MAC/network layers with sustained bit-rates of ~10 Mbps and higher. The hardware prototype supports multi band operation with fast spectrum scanning, the ability to dynamically switch between a number of OFDM and DSSS modems and multiple MAC protocols. The radio modems, MAC, and network-layer protocols are implemented in a flexible manner using general-purpose processing engines and a set of dynamically configurable hardware accelerators. An FPGA based platform implementation currently in progress is described in terms of key hardware components including the software-defined modem, the flexible MAC engine and network-level processor. Preliminary prototyping results are reported, and a roadmap for further evolution of the WiNC2R board is provided.     

A big data acquisition engine based on rule engine

Supervisory control and data acquisition (SCADA) systems based on Ethernet progress is open and modularization. This article aims to building a general data acquisition engine which combines rule engine and finite state automaton together. The combination describes big data acquisition flow and its rules in a flexible way, and helps to verify the security and correctness of the big data acquisition flow.     

基于ACBM的高速网络入侵检测算法研究

本文提出一种基于ACBM规则匹配的网络入侵算法,通过定义入侵规则,将入侵数据与数据库中的数据规则化,然后根据ACBM算法实现入侵规则的匹配,这样就避免了传统算法对单一数据串的逐一匹配,大大缩短了高速网络检测所消耗的时间.实验证明,这种方法能够有效提高网络入侵检测的效率,对高速网络的检测效率也有了很大的改善,取得了满意的结果.     

Approach of detecting low-rate DoS attack based on combined features

LDoS (low-rate denial of service) attack is a kind of RoQ (reduction of quality) attack which has the characteristics of low average rate and strong concealment.These characteristics pose great threats to the security of cloud computing platform and big data center.Based on network traffic analysis,three intrinsic characteristics of LDoS attack flow were extracted to be a set of input to BP neural network,which is a classifier for LDoS attack detection.Hence,an approach of detecting LDoS attacks was proposed based on novel combined feature value.The proposed approach can speedily and accurately model the LDoS attack flows by the efficient self-organizing learning process of BP neural network,in which a proper decision-making indicator is set to detect LDoS attack in accuracy at the end of output.The proposed detection approach was tested in NS2 platform and verified in test-bed network environment by using the Linux TCP-kernel source code,which is a widely accepted LDoS attack generation tool.The detection probability derived from hypothesis testing is 96.68%.Compared with available researches,analysis results show that the performance of combined features detection is better than that of single feature,and has high computational efficiency.     

一种航天器异常检测案例关联方法

针对航天器异常检测系统中故障案例作用发挥不明显的问题,基于异常检测规则知识和故障案例,设计了一种关键词提取模式和全新的关联引擎,在航天器异常检测结果和故障案例之间建立了一种快速的关联机制,充分发挥了航天器异常检测系统中关联案例在故障识别、故障定位方面的作用。应用实例表明,该方法具有关联故障案例全面、数据处理运行高效的特点。     

基于克隆选择聚类的入侵检测

提出基于克隆选择的模糊聚类算法，将该聚类算法用于网络入侵检测。针对入侵数据的混合属性改进距离测度的计算方法，实现了对大规模混合属性原始数据的异常检测，并能有效检测到未知攻击。在KDDCUP99数据集中进行了对比仿真实验，实验结果表明算法对已知攻击和未知攻击的检测率以及算法的误誊率都是理想的。     

基于网络流量的用户网络行为被害性分析模型

网络行为被害性分析对于电信网络诈骗犯罪的防控具有深远意义。通过研究用户与网站交互产生的网络流量,提出一种基于网络流量分析的电信网络诈骗犯罪用户网络行为被害性识别模型,分析不同网络行为特征之间的关联规则,重构网络行为序列特征,同时结合随机森林算法评估网络行为的被害性。在被害人网络行为数据集基础上进行实验,证明模型能够有效提升网络行为被害性识别准确率。