入侵检测系统的规则研究与基于机器学习的入侵检测系统模型

入侵检测系统（IDS）分为异常检测模型和误用检测模型。异常检测模型首先总结正常操作应该具有的特征，得出正常操作的模型，对后续的操作进行监视，一旦发现偏离正常统计学意义上的操作模式，即进行报警。误用检测模型是收集入侵检测行为的特征，建立相关的规则库，在后续的检测过程中，将收集到的数据与规则库中的特征代码进行比较，得出是否是入侵的结论。本文主要研究了入侵检测系统中的规则的建立，并通过在基于误用检测的Snort入侵检测系统中增加一个规则学习模块——LERAD，提出了一个基于机器学习的入侵检测系统模型。     

基于Elman改进的Snort网络入侵检测软件

文中基于人工神经网络（Artificial Neural Network,ANN）改进了Snort IDS。通过人工神经网络工具训练样本集,将训练成功的ANN集成到Snort的预处理器中,优化了Snort攻击检测。经实验验证,改进后的Snort IDS能检测到规则库以外的攻击行为,有效检测多种入侵行为。     

基于IPv6的入侵检测系统的研究与实现

在Snort软件包的基础上,对下一代英特网入侵检测系统的实现进行了研究,提出了基于IPv6的入侵检测系统的解决方案,阐述了协议解析模块、分段包重组模块、规则检测模块和报警输出模块的设计实现方案.     

基于改进关联规则的网络入侵检测方法的研究

研究关联规则的高效挖掘算法对于提高入侵检测的准确性和时效性具有非常重要的意义.针对现行的入侵检测方法建立的正常模式和异常模式不够准确、完善,容易造成误警或漏警的问题,本文将改进后的关联规则挖掘算法-XARM和关联规则增量更新算法-SFUP应用于网络入侵检测,提出了新的入侵检测方法,该方法通过挖掘训练审计数据中的频繁项集建立系统和用户的正常行为模型以及入侵行为模型.     

基于手持设备平台的入侵检测系统的研究

操作系统和型号的多样性给手持设备杀毒软件研发带来了诸多问题。鉴于手持设备操作系统的规模及内存容量的限制,丈中提出将Snort技术应用于手持设备安全领域。由于Snort是一个基于Libpcap的轻量级入侵检测系统,所以丈中所研究的用以增强手持设备信息安全的系统模型命名为轻量型手持设备入侵检测系统。限于手持设备平台的特殊性,在优化模式匹配算法与匹配规则相结合的基础上设计了系统模型。     

基于邮政综合网的Snort规则库的优化设计

为了保护邮政综合网的网络安全,在该环境下部署Snort入侵检测系统,该技术可以保护邮政业务应用系统、邮政生产的正常运行。论文在此基础上,研究了如何对入侵检测系统的性能进行优化,文中从系统的核心部件规则库人手,依据细化的原则,应用协议分析技术,提出规则库的优化方案,并通过实验证明该优化方案可显著提高Snort入侵检测系统的性能。     

基于免疫优化原理的计算机网络入侵检测系统

入侵检测系统是指能够自动识别计算机系统内的入侵行为的系统,它可以检测出内部用户或外部入侵者的非授权使用、误用和恶意攻击等异常行为模式,保护计算机系统的安全。本文在充分研究了人体免疫系统的工作机理的基础上,对于现有的人工免疫模型进行了改进,使得该模型更易于实现。并根据改进后的模型设计了一个基于网络的入侵检测系统,该系统以网络数据包为检测数据来源,具有能检测未知入侵行为、分布式部署等优点。     

基于数据挖掘的入侵检测应用研究

论述了入侵检测系统的基本概念,针对目前入侵检测系统中存在的问题,提出了一个基于数据挖掘技术的入侵检测系统模型。介绍了该系统模型的基本思想,阐述其结构及主要功能。在系统的实现方面提出应用新的加权关联规则分析来改进数据挖掘模块的算法并应用与入侵检测系统之中。与传统关联规则入侵系统相比提高了挖掘入侵模式的精度和完整性,降低了误报率的发生。     

对于IP地址攻击有效的混合蜜罐入侵检测系统

提出在入侵检测系统中融合蜜罐技术并应用在分布式的网络环境中。主要目的就是通过单播IP地址攻击和组播的IP地址攻击对比单独入侵检测系统与融合了蜜罐技术的入侵检测系统检测攻击的有效性。混合蜜罐网络由Snort和Honeyd组成,Snort的作用是入侵检测而Honeyd组成蜜罐系统。Honeyd安装在Linux系统中,这个系统的传感器探测Snort和Honeyd是否传送数据到主数据库。使用NESSUS对实验数据进行分析。提供给管理员一种更有效的网络管理方式。     

轻量级网络入侵检测系统Snort及其应用

网络入侵检测系统用来监视网络数据流动情况,当入侵发生时能够提供报警。Snort允许管理员在短时间内通过修改配置进行实时的安全响应。详细介绍了Snort的体系结构、入侵检测机制以及规则的定义、构成和更新,简要介绍了Snort的内置应用。Snort因其具有开放源代码、轻量而功能强大、可移植性强、检测规则简单而有效、允许使用者完全定制自己的规则等特点而有很好的应用前景。     

Random-Forests-Based Network Intrusion Detection Systems

Prevention of security breaches completely using the existing security technologies is unrealistic. As a result, intrusion detection is an important component in network security. However, many current intrusion detection systems (IDSs) are rule-based systems, which have limitations to detect novel intrusions. Moreover, encoding rules is time-consuming and highly depends on the knowledge of known intrusions. Therefore, we propose new systematic frameworks that apply a data mining algorithm called random forests in misuse, anomaly, and hybrid-network-based IDSs. In misuse detection, patterns of intrusions are built automatically by the random forests algorithm over training data. After that, intrusions are detected by matching network activities against the patterns. In anomaly detection, novel intrusions are detected by the outlier detection mechanism of the random forests algorithm. After building the patterns of network services by the random forests algorithm, outliers related to the patterns are determined by the outlier detection algorithm. The hybrid detection system improves the detection performance by combining the advantages of the misuse and anomaly detection. We evaluate our approaches over the Knowledge Discovery and Data Mining 1999 (KDD’99) dataset. The experimental results demonstrate that the performance provided by the proposed misuse approach is better than the best KDD’99 result; compared to other reported unsupervised anomaly detection approaches, our anomaly detection approach achieves higher detection rate when the false positive rate is low; and the presented hybrid system can improve the overall performance of the aforementioned IDSs.      

遗传算法优化的混合神经网络入侵检测系统

针对入侵检测系统大都采用单一的检测模式,难以有效地处理漏报、误报和对未知攻击无法有效识别的问题,分析不同类型网络流量的特征,文中提出一种将BP网络、遗传算法和Snort相结合的混合式入侵检测系统,综合了异常检测和误用检测的优点,克服了单一检测模式的不足。实验结果表明,该方法能有效提高入侵检测系统的检测率和准确率。     

基于免疫机理的自适应入侵检测系统模型

针对当前入侵检测系统存在的问题采用了一种基于生物免疫机制的自适应入侵检测系统模型,该系统结合了异常检测和误用检测的优点,不仅可以依据现有的规则进行检测,还可以自适应在线升级自身的抗体规则,从而提高了系统抵御新型攻击的能力和自适应性。     

ID-based proxy re-signature without pairing

Several new attacks have been identified in CRNs such as primary user emulation, dynamic spectrum access (DSA), and jamming attacks. Such types of attacks can severely impact network performance, specially in terms of the over all achieved network throughput. In response to that, intrusion detection system (IDS) based on anomaly and signature detection is recognized as an effective candidate solution to handle and mitigate these types of attacks. In this paper, we present an intrusion detection system for CRNs (CR-IDS) using the anomaly-based detection (ABD) approach. The proposed ABD algorithm provides the ability to effectively detect the different types of CRNs security attacks. CR-IDS contains different cooperative components to accomplish its desired functionalities which are monitoring, feature generation and selection, rule generation, rule based system, detection module, action module, impact analysis and learning module. Our simulation results show that CR-IDS can detect DSA attacks with high detection rate and very low false negative and false positive probabilities.     

IPv6网络协议中分段机制安全问题的研究

以开源Snort 平台为基础,探讨IPv6网络的分组分段机制,对利用IPv6分组分段来攻击网络的行为进行了研究。针对其中IPv6过小分组分段、重叠分段等问题提出了相应的应对措施,设计并实现了针对分段漏洞进行检测的入侵检测机制。通过实验表明,所设计的入侵检测机制能够检测相关异常的IPv6分段分组,对Snort支持IPv6功能进行了改进和优化。     

网络误用和异常入侵检测系统设计

文中讨论了误用和异常入侵检测技术存在的不足,提出结合误用检测和异常检测的入侵检测系统模型,该系统利用规则匹配检测已知入侵,利用免疫算法检测未知入侵并更新规则数据库,检测效率较高。     

基于数据挖掘的混合式入侵检测模型及分析

文中简单的介绍了数据挖掘技术和入侵技术,详细介绍了基于混合式入侵检测模型,分别对数据采集模块、数据预处理模块、数据挖掘模块进行了分析,并对模型进行了试验分析,实验结果表明：采用改进的关联分析Apriori算法运用于数据挖掘具有很高的准确性,最小支持度阈值较小时,检测率较高,误报率也高,最小支持度阈值较大时,检测率较低,误报率也低。     

遗传算法在基于网络异常的入侵检测中的应用

考虑到基于误用的IDS不能有效检测未知入侵行为,而基于统计的异常检测法在建模时忽略了多变量在一段时间内的关系,提出了一种异常检测算法.用滑动窗口将系统各属性表示为特征向量,从而将系统正常状态分布在n维空间中,并使用遗传算法进化检测规则集来覆盖异常空间.经实验证明该方法提高了检测率.