多数据库系统集成平台CMDatabase体系结构

在比较传统的两种实现多数据库系统的体系结构后，针对大规模的数据集成提出了一种新的体系结构，该体系结构方便了用户的操作，提高了运行效率。     

基于数据流的异常入侵检测

目前，基于机器学习的异常入侵检测算法通常建立在对整个历史数据集进行等同的学习基础之上，学习到的网络行为轮廓过于依赖历史数据，难以准确反映当前网络通信量的行为特征。同时，算法的时间和空间复杂度较高，难以对网络中持续快速到达的大规模数据报文进行存储与维护。本文提出，一种基于数据流聚类的两阶段异常入侵检测方法，首先在线生成网络数据的统计信息，并利用最能反映当前网络行为的统计信息检测入侵行为。实验结果表明，其检测性能优于基于所有历史数据进行入侵检测的结果，并克服了内存等系统资源不足的问题，增加了系统的灵活性与并行性。     

入侵检测在线规则生成模型

利用机器学习算法，如SVM、神经网络等，进行入侵检测已取得很大进展，但检测结果难于理解的问题已影响到这些检测算法的广泛使用．文章在对已知的关联算法进行比较分析的基础上，提出了一种针对入侵检测结果的实时规则在线生成方法，以提高对检测结果的理解，降低入侵所带来的损失．在定义局部支持度、全局可信度、CI—Tree和IX—Tree树结构的基础上，设计了直接产生仅与当前发生的攻击相关的规则集的规则生成算法．该方法解决了当前主流关联规则生成算法应用到入侵检测结果集的过程中所存在的多遍扫描（至少两遍）、攻击数据的非均衡分布所带来的大量无效规则的产生和两阶段规则生成方法使得在第一阶段产生了众多与最后生成的规则集无关的频繁集等问题．经过实验表明，文中所提出的方法在规则生成和时间效率方面都显示出了良好的性能．     

基于动态行为和特征模式的异常检测模型

该文针对现有的异常检测方法大多只关注系统调用出现的频率或者局部变化的情况，提出了一种将动态行为和全局特征结合起来的检测模型（DBCPIDS）．文章针对满足支持度要求的系统调用短序列，给出了特征模式的概念，并以此为基础提出了基于改进的隐马尔科夫方法（IHMM）．当利用该模型进行检测时，首先用程序轨迹匹配特征模式，如果不匹配再用IHMM进行检测，从而使得该检测模型充分利用了程序正常运行的全局特征和程序运行期间的局部变化．通过实验表明，利用该模型进行异常检测，具有很高的检测率和较低的误报率．     

无线传感器网络安全数据汇聚协议

无线传感器网络中,如何将数据汇聚技术与路由技术结合,设计高效的数据汇聚协议,以减少传输过程中的数据量,减轻数据汇聚过程中的网络拥塞,协助路由协议延长网络的生存时间是一个重要的问题。尽管数据汇聚能有效地减小通信开销,但数据汇聚技术也不可避免的带来了一系列安全问题,譬如传感数据外泄等,因而安全问题成为数据汇聚中一个重要研究方向。目前,安全数据汇聚技术及其实现协议已经成为传感器网络安全的研究中一个重要课题。详细介绍安全数据汇聚协议这个领域内的研究进展和成果,从安全角度对比分析各种现有协议,最后结合该领域内的研究现状以及作者的研究体会指出了该领域未来研究的一些重要方向。     

面向蠕虫自动特征产生系统的设计与实现

计算机以及网络的的迅速发展在带给人类方便的同时,也为恶意代码的传播提供了良好的条件。一种具有传播速度快,破坏力大和高智能性等特点的恶意代码一蠕虫,已引起人们的广泛重视。由于蠕虫传播速度极快,安全厂商很难迅速获得检测相应蠕虫的恶意代码的特征,而特征的迟后获得可能会给用户带来很大的潜在危害,因此,本文从协议分析的角度提出了一种特征的自动生成方法,并将产生的特征用来检测蠕虫,取得了良好的效果,并在此基础上用实例探测的方法进一步提高了准确性（降低了漏报与误报）。     

一种基于攻击图的入侵响应方法

针对当前入侵响应工作中存在的不能充分考虑系统的收益,以及不能充分考虑攻击者策略变化因素等问题,提出了一种基于攻击图的入侵响应IRAG(intrusion response based on attack graph)模型.该模型较好地解决了攻击意图及策略变化的问题,并全面考虑了系统、攻击者的收益等因素.实验结果表明,IRAG模型有效地提高了响应的准确性和效果.     

安全报警事件关联算法研究

已经获得广泛应用的防火墙、IDS、防病毒软件等安全设备在运行过程中会产生大量独立的、原始的报警信息,这些报警信息除了具有海量的特点外,还有比较高的误报率和漏报率,导致用户难于对攻击及时做出响应。利用关联分析的方法对海量报警事件进行分析并提取攻击场景是解决此问题的基本手段。通过简单的分类综述了安全领域中报警事件关联算法的研究现状,并指出了需要进一步研究的问题。     

NeighborWatcher:基于程序家族关系的附加恶意手机应用检测方法研究

经过对多个手机恶意应用程序的分析,发现其与被感染程序所属家族的不同版本在程序语义方面存在很大的相似性,并且这种相似性与原家族中不同版本之间的相似性有很大不同.基于该事实,本文借助于分层聚类技术,针对函数的调用图,提出了一种基于程序家族关系的恶意手机应用检测方法并构建了一个NeighborWatcher系统.实验结果表明当每个程序家族都含有四个以上的成员时,NeighborWatcher系统对附加恶意应用的检测率可以达到92.86%.