入侵检测报警信息融合系统的构建与实现

针对目前入侵检测系统（IDS）存在的误报、漏报等问题,首先分析了存在误警的原因,设计并实现了一个入侵检测报警信息融合系统的模型。该模型提出一种相似隶属函数对报警事件进行关联,最后对系统进行了实验验证。结果表明该系统能有效地减少报警数量,降低误报、漏报率,从而提高了报警的有效性。同时通过事件关联完成攻击场景的重构,为加深对攻击者攻击意图的了解带来了方便,达到预警的目的,具有较强的实用价值。     

入侵检测报警信息融合系统的构建与实现

针对目前入侵检测系统(IDS)存在的误报、漏报等问题,首先分析了存在误警的原因,设计并实现了一个入侵检测报警信息融合系统的模型。该模型提出一种相似隶属函数对报警事件进行关联,最后对系统进行了实验验证。结果表明该系统能有效地减少报警数量,降低误报、漏报率,从而提高了报警的有效性。同时通过事件关联完成攻击场景的重构,为加深对攻击者攻击意图的了解带来了方便,达到预警的目的,具有较强的实用价值。     

江苏软件和集成电路业专项基金资助项目统一网络安全管理平台的研究与实现*

针对防火墙、入侵检测系统等异构安全设备的广泛应用而产生的海量的不可靠的安全事件难以有效管理的现状,提出了统一网络安全管理平台,平台利用风险评估和事件关联技术来实时地分析网络的风险状况,降低误报率和漏报率。首先给出了平台的体系结构,并介绍了各模块的基本功能,然后就安全事件预处理、实时风险评估、事件关联三个关键技术的具体实现进行了详细的描述。     

传统NIDS漏报和误报起因及改进技术

传统的网络入侵检测系统大都采用模式匹配的方法进行入侵检测,有着非常高的漏报率和误报率。本文通过对模式匹配算法检测过程的描述,对其产生漏报和误报的原因进行了分析。针对模式匹配算法带来的高漏报率和误报率,引入了协议分析的方法。协议分析方法通过辨别数据包的协议类型,然后使用相应的数据分析程序进行检测。这种方法可以大幅度地降低漏报率和误报率,大大地提高了入侵检测系统的效率。     

基于专家系统和神经网络的网络入侵检测系统

研究网络安全问题,网络入侵方式具有多样性和不确定性,当前大多数入侵检测系统检测正确率低,误报和漏报率高的缺陷。为了提高网络入侵检测正确率,保证网络安全,提出一种基于专家系统和神经网络的智能入侵检测系统。首先采用专家系统对已知网络入侵进行检测,然后采用神经网络对专家系统不能发现的未知网络入侵进行检测,最后利用神经网络检测结果对专家系统规则库进行更新。采用网络入侵检测数据库KDD CUP 99进行仿真,结果表明,智能入侵检测系统提高了网络入侵检测的正确率,有效降低了网络入侵的误报率和漏报率,为网络入侵提供了一种新的有效的检测工具。     

高速网络入侵检测系统的应用研究

传统入侵检测系统检测效率低下,误报和漏报率较高,不能满足真实网络环境下网络入侵检测的需求。有鉴于此,提出了一种新型的基于模式匹配和协议分析相结合的网络入侵检测系统,对该系统中关键模块的设计和实现进行了介绍。经过实验表明,该系统具有良好的实时性,误报和漏报率更低。     

报警信息关联模型的构建和实现*

协同和分布式的网络攻击对传统的网络安全防护提出了巨大的挑战,同时也对分布式入侵检测技术提出了更高的要求,而有效融合多种入侵检测系统报警信息能够提高告警的准确性。首先给出了五维度报警信息关联的定义;然后设计与实现了带有实时响应机制的层次化关联模型,该模型具有较广泛的适用性,每一层都可以作为一个单独的模块完成相应的功能;最后给出了报警信息融合模块的实现。实验证明：报警信息融合可以降低误报、漏报率,并能识别攻击意图,达到预警的目的。     

基于系统调用的0day攻击路径检测系统

针对当前网络环境中缺乏有效检测0 day攻击路径的方法的问题,实现基于系统调用的0 day攻击路径检测系统。根据定义的语法规则和系统调用轨迹构造网络系统对象关系图,从网络系统对象关系图中识别出可疑的入侵传播路径,利用漏洞特征集合和漏洞指示函数识别出0 day攻击路径。实验结果表明,该系统能够准确检测网络中存在的0 day攻击路径,有效降低了误报和漏报率。     

基于关联分析的IDS报警信息的研究与设计

入侵检测系统的大部分报警事件之间都存在某种联系,通过对这些报警信息的关联分析,对解决目前入侵检测系统所存在的误报、漏报、重复报警、报警信息层次低等问题,具有重要的意义。该文基于因果关联方法,建立了一个入侵检测系统关联分析模型,该模型的关联分析过程分为聚合和关联分析,可以对不同入侵检测系统产生的报警信息进行关联分析。     

安全事件管理中的并行关联方法

本文通过关联引擎对基于规则的攻击场景的识别来关联入侵检测系统和防火墙等安全设备发来的事件,自动确定安全事故,从而消除入侵检测系统和防火墙等安全设备的误报与漏报,并且提出了一种并行的关联算法来提高关联引擎的关联的实时性。     

基于免疫的入侵检测系统可信问题研究

为了降低入侵检测系统的误报率和漏报率,提出了一种基于人工免疫的新型入侵检测系统模型。借鉴生物免疫系统抗体的演化机制,该模型改进了目前基于免疫的入侵检测系统中抗原、抗体的静态描述方式,给出了抗原、抗体的动态描述方式和变化机制,并针对传统固定r连续位匹配方法的不足,提出了一种r可变匹配机制,最后进行了相关仿真实验。理论分析和实验结果表明,该系统具有较低的误报率和漏报率,提高了入侵检测系统的可信性。     

免疫原理驱动的入侵检测系统框架

将人体免疫原理应用于计算机安全领域是安全技术研究的一次新的尝试。免疫系统捍卫着人体的生存,正如入侵检测系统(IDS,IntrusionDetectionSystem)保护计算机系统免受攻击的摧毁。当前大多数IDS系统仅采用基于特征的检测以减少误报,然而这会造成不可忍受的漏报问题。论文将免疫原理引入入侵检测领域,试图为当前入侵检测领域普遍存在的误报、漏报问题提出一种解决方案,并提出一种分布式、轻量级和自组织的入侵检测系统框架。     

入侵检测系统的可信问题

首先讨论了当前入侵检测系统存在的信任危机的原因，并得出结论：若希望入侵检测系统的报警可信概率超过50％，必须使虚警率低于入侵发生的先验概率．接着论述了在异常检测系统和滥用检测系统中产生虚警的原因．最后结合研发的AIIDs系统讨论了抑制虚警可能采取的方法，重点讨论了用隐马尔可夫模型过滤系统调用数据以增加相对条件熵的方法和根据入侵的定义以及来自免疫系统机理的启发，建立了协同信号机制而遏制虚警的方法.     

入侵检测系统报警信息关联分析模型的设计与实现

入侵检测系统报警信息的关联分析技术,对解决目前入侵检测系统所存在的误报、漏报、报警信息层次低和难管理等问题,具有十分重要的意义。本文综合了目前所提出的几种关联分析方法,建立了一个入侵检测系统关联分析模型,该模型将关联分析过程划分为三个层次：聚类、融合和因果关联,可以对不同入侵检测系统产生的报警信息进行关联分析。     

基于危险理论的入侵检测系统误报率研究

入侵检测系统误报率高是一个普遍存在的问题.本文从概率论的角度出发,通过对入侵检测系统误报产生的原因进行分析,论证基于危险理论的入侵检测系统在保证检测率的同时,有效地降低入侵检测系统的误报率.     

一种基于网络安全风险评估的入侵检测方法

针对传统的入侵检测系统存在报警数量大、误报率高等缺陷,提出了一种基于网络安全风险评估的入侵检测方法,该方法基于入侵检测结果,引入抗体浓度随入侵强度动态变化这一人工免疫理论的最新研究成果进行网络安全风险的计算,然后根据当前网络面临的实时安全风险动态设置报警策略。实验结果表明,该方法能够实时、定量地计算主机和网络所面临的风险,并极大地降低报警数量和误报率。     

基于多代理的分布式入侵检测系统模型

随着网络技术的不断发展,网络安全问题十分突出。入侵检测技术作为安全防护的重要手段,显得日益重要。大多数入侵检测系统存在误报率高和漏报的问题。此外,由于系统分布在网络的不同位置,不能进行必要的协同工作。针对上述问题,提出一种基于多代理的分布式入侵检测系统模型MADIDS。该系统在我们已有的多代理协同工作平台NHMAS上开发完成,结合基于主机的入侵检测系统和基于网络的入侵检测系统的优点,对常用入侵手段具有较高的检测率和较低的误报率。     

Ad Hoc网络与有线网络互连中的入侵检测①

针对AdHoc网络与有线网络互连中面临的安全问题,致力于建立一个适合两网互连的入侵检测系统,构建了AdHoc网络与有线网络的互连模型,并提出了适用于该互连模型的入侵检测实施方案。该方案采用基于统计的异常检测技术和基于模式匹配的误用检测技术相结合的入侵检测技术,减少了单纯使用某种入侵检测技术时的漏报率和误报率,从而提高系统的安全性。     

基于安全扫描信息降低入侵检测系统的误报率

通常入侵检测系统在一旦发现有入侵迹象时便发出警报,但许多入侵攻击最终是不能成功的或者说并不能给系统或网络造成危害,所以相应的警报属于无效警报,而正是大量无效警报的存在使得入侵检测系统有着较高的误报率。在本文中,针对网络型误用入侵检测系统建立了一种新的警报过滤机制,此机制通过安全扫描系统建立起一个本网络的漏洞数据库,由于一种网络攻击一般都是针对一个或多个程序漏洞的,当入侵检测系统发现可疑入侵时,找出攻击成功时所需存在的漏洞,并依据漏洞数据库加以实时确认此漏洞是否存在,若不存在,则只是记入日志而不发出警报,从而过滤无效警报的产生。实验结果证明,本文提出的警报过滤机制可以有效的降低误报率。     

模糊神经网络在入侵检测中的应用

目前绝大多数误用检测系统均不能检测已知攻击的变种 ,对未知攻击的检测也十分有限 ,而基于用户行为的异常检测系统对攻击检测的误报率太高 ,且不能发现攻击者通过慢慢改变其行为躲过检测的欺骗行为 .将模糊神经网络应用于入侵检测领域 ,并采用基于进程行为的检测方法 ,能有效的解决上述问题 ,较好地改进入侵检测系统的性能 ,降低漏报误报率 .