基于系统调用的入侵检测方法研究

系统调用是操作系统和用户程序的接口，任何程序都必须通过系统调用才能执行，针对系统调用进行入侵检测的实施．能增加入侵检测的准确性和正确性，并使实时监测和分层安全成为可能。本文分析了在系统调用层面上实现入侵检测的可能性和优越性，详细阐明了目前各种基于系统调用入侵检测的方法和性能比较，讨论了基于系统调用入侵检测研究的发展趋势。     

Linux下的网络入侵检测系统研究与实现

随着计算机信息技术与网络技术的迅猛发展，信息与网络的安全形势也日趋严峻和复杂化。各种计算机安全事件的不断发生，已使保障信息与网络安全成为世界各国计算机安全人员的共同目标。主要介绍了网络入侵检测系统（NIDS）的设计原理和在Linux操作系统（主要是在RedHat）下，对网络入侵检测系统的设计进行了探讨。     

网络入侵检测系统的设计与实现

网络入侵检测系统是计算机安全的重要组成部分,它实现实时检测的功能。一个入侵检测系统可以从信息源、分析方法和反应模式这三个功能模块来区分。本文提出基于Linux操作系统的入侵检测系统,从网络流量的观点实现入侵的检测,最后用一个实例来测试,达到了入侵检测的理想效果。     

基于主机系统调用序列的实时入侵检测系统的模型研究

首先介绍了基于主机系统调用的入侵检测的概念，进而说明了研究基于主机系统调用序列的实时入侵检测系统的重要性；然后提出了该系统的模型设计方案，包括结构分析、接口设计和相关算法；最后给出了仿真实验和实验数据分析。     

基于Linux环境下的IPS实现算法研究及性能测试

入侵防御系统（IPS）是继入侵检测系统（IDS）之后网络安全领域的一个新的研究方向，它既可以用来检测，又可以用来防御和阻止攻击。文中首先讨论了在Linux操作系统下的入侵防御系统，然后给出了建立入侵防御系统的3种算法，并对其性能做了测试、比较和分析，最后讨论了进一步需要研究的问题。     

基于快速语义修复的操作系统隐藏对象检测技术

与传统的入侵检测系统相比,基于虚拟机自省的入侵检测系统的抗干扰性更强.但由于存在语义鸿沟问题,即低层的硬件字节信息与操作系统级语义之间的差异,导致入侵检测系统的通用性和实时性下降.针对此问题,本文提出了Vlhd,一种基于语义鸿沟修复方法的rootkit隐藏对象检测技术.Vlhd将系统分离成离线和在线模块两部分.在线模块用于即时地在虚拟机外部重构虚拟机语义视图;离线模块用于离线地提取操作系统语义知识,并向在线模块提供语义服务.通过对各类Linux操作系统和多种rootkit进行入侵检测试验,发现Vlhd对rootkit的隐藏对象检测效果良好,通用性强.Vlhd的单次扫描时间为34ms,对系统引入了1.1%（扫描周期设置为8s时）的性能开销.     

基于模糊聚类的Linux网络动态入侵检测

提出基于模糊聚类的Linux系统异常入侵检测方式,通过对网络动态信息进行分类检测,能够降低入侵检测的漏检率,动态检测出网络数据入侵程序,避免了传统方式的缺陷.实验证明,利用基于模糊聚类的入侵检测方式能够快速、准确的检测出入侵程序,保证Linux系统安全.     

基于系统调用子集的入侵检测

入侵检测技术是入侵检测系统(IDS)的重要内容.根据系统调用的作用效果对系统调用进行划分,在此基础上提出基于系统调用的一个子集(W子集)的入侵检测技术.实验表明,与基于系统调用全集的方法相比,基于W子集的入侵检测技术具有较低的误报率,且所需存储空间代价和计算代价都较小,因而更加适合于实时入侵检测.     

基于入侵检测技术的远程视频控制

基于嵌入式Linux软件平台(Fedora-14操作系统及Linux-2.6.30.4的内核)和ARM9硬件平台,设计出了基于入侵检测技术的远程视频及环境监测系统且具备短信实时报警功能。     

一种基于程序结构图的入侵检测方法研究

利用操作系统或应用软件漏洞入侵系统是网络攻击的重要手段。提出一种使用系统调用描述程序结构的结构图,以及通过程序二进制代码自动生成结构图的方法。并介绍利用程序结构图判断程序运行状态进行入侵检测的方法。通过实验对比,说明这种检测方法是有效的。     

基于网管系统的分布式入侵检测模型研究

随着基于网络的服务的迅速增长,入侵检测系统的检测性能已变的越来越重要。为了提高入侵检测系统的检测率和降低其误报率,本文通过将网管系统和入侵检测系统相结合,提出了一种用于分布式入侵检测系统的层次化协作模型,提供集成化的检测、报告和响应功能。在检测引擎的实现上,使用了信息管理库(MIB)作为数据源,可有效检测流量为基础的攻击模式。应用结果表明,该模型可有效增强网络管理的安全性能,提高入侵检测系统的效率。     

基于数据取值规则的入侵检测技术

目前的入侵检测系统往往利用系统调用序列来设计,而忽略了系统调用序列所运行的数据环境,因此无法应对那些不改变系统调用序列的新型攻击.提出了一种新的入侵检测模型,它结合系统调用序列及其运行的数据环境来进行检测,通过学习系统调用序列的数据取值规则,增强模型的检测能力.实验结果表明,与现有模型相比,该方法具有检测效率高、误警率低及训练阶段时空开销小的优点.     

基于移动代理的入侵检测系统模型的研究

阐述了基于移动代理的入侵检测系统的优势,提出了一个使用移动代理技术的入侵检测系统MAAFID。首先由数据收集代理(DCA)在网络中随机移动并收集信息,然后将收集到的信息传递给数据分析代理(DAA)来评估入侵发生的可能性。本文重点讨论了系统中数据收集代理的数目与检测出入侵发生的可能性二者之间的定量关系,最后还给出了一个仿真结果。     

入侵防御系统(IPS)的技术研究及其实现

入侵防御系统是网络安全领域为弥补防火墙及入侵检测系统(Intrusion Detection System)的不足而新发展起来的一种计算机信息安全技术.不同的入侵防御系统实现的方式各不一样,但其共同点是综合了防火墙防御功能和入侵检测系统的网络数据包检测功能,紧密实现了上述两安全系统的互动互利,对受保护网络进行更为完善的保护.论述了入侵防御系统的两种体系结构,并对其中的关键技术作了介绍.在最后提出了一个入侵防御原型系统的实现方式以供探讨.     

协同入侵检测系统的研究和设计

随着网络的普及,网络入侵也趋于多样化和复杂化,针对入侵的这一特点,在基于状态的分布式协同入侵检测系统模型的基础上,采用攻击策略分析的技术,设计了一个基于策略分析的协同入侵检测系统模型。该模型的目标是提高检测的效率和速度,减轻网络流量载荷。该模型的特点是加入IDXP安全平台,可以提高模型组件间信息传输的安全性,增强自身的安全强度。     

基于层次隐马尔科夫模型和变长语义模式的入侵检测方法

分析了定长系统调用短序列在入侵检测系统应用中的不足,利用进程堆栈中的函数调用返回地址信息,提出了一种变长短序列的语义模式切分方法,并根据这种变长语义模式之间的层次关系和状态转移特性提出了基于层次隐马尔科夫模型的入侵检测方法.实验结果表明,与传统的隐马尔科夫模型相比,基于层次隐马尔科夫模型的入侵检测方法具有更好的检测效果.     

基于HMM的系统调用异常检测

我们利用隐马尔可夫模型来描述特权进程正常运行时局部系统调用之间存在的规律性.具体方法是将UNIX特权程序的系统调用轨迹通过隐马尔可夫模型处理得到系统状态转移序列,再经滑窗后得到系统状态转移短序列.初步的实验证明这样得到的系统状态转移短序列比TIDE方法提出的系统调用短序列能更加简洁和稳定地表示系统的正常状态,采用这种状态短序列建立的正常轮廓库比较小,而且对训练数据的不完整性不太敏感.在同等的训练数据下,检测时本方法比TIDE方法的检测速度快,虚警率低.     

多用户并发控制的入侵检测漏警实验系统

利用多种入侵检测躲避技术,采用三层B/S结构,研究并实现了多用户并发控制的入侵检测漏警实验系统,该系统支持多用户并发实验而不相互冲突.对系统的测试以及实践证明,该系统可支持500名左右的用户同时实验并且响应时间不超过3秒.