一种基于移动代理自动优化的分布式入侵检测系统

随着网络技术的飞速发展，网络入侵检测系统需要处理大量的数据，处理能力的缺乏会引起入侵事件的漏报或误报，提高入侵检测系统的处理能力是目前急需解决的关键问题．AODIDS是一个由移动代理作为优化组件、多个分析结点及探测结点组成的可自动进行优化的分布式网络入侵检测系统．AODIDS的优化组件执行系统的性能评估，制定相应的优化策略，在规定的系统检测正确率的前提下平衡分配网络流量，从而尽可能地发挥整个系统的处理能力．     

基于多主体技术的分布式入侵检测系统的研究与设计

本文提出了一种基于多主体技术的分布式入侵检测系统。该系统将整个网络的入侵检测工作分配到各台主机上进行，克服亍中心化和层次化入侵检测系统所存在的单点失效和处理能力瓶颈问题；将面向整个网络的管理任务和分布式入侵检测任务交给网络安全管理主体NSMA来处理，用NSMA之间的协作代替各个底层检测节点间的协作，提高了系统的的检测和管理能力；在系统设计上引入了功能冗余的思想，在有效克服单点失效问题的同时提高了系统对入侵的实时枪测能力．太文详细论述了系统设计思想和实现方案．并给出了相关技术问题的解决方法。     

基于改进Adaboost算法的无线传感网络入侵检测方法

为降低无线传感网络节点入侵误检率，引进改进Adaboost算法，设计一种针对无线传感网络的全新入侵检测方法。参照无线传感网络在传输数据过程中的电能量消耗模型，设定网络连续传输节点之间的距离，计算无线传感网络节点传输消耗能量；引进改进Adaboost算法，对节点进行权值的初始化处理，计算入侵样本初始权值，设计入侵数据的分类。入侵检测一般分为探测与应答两个步骤，通过对无线传感网络流量异常的感知，实现对无线传感网络入侵的检测。对比实验结果证明：设计的检测方法可以在提高无线传感网络节点攻击样本数量检测结果精度的同时，降低网络节点入侵误检率。     

一种有效的并行入侵检测系统流量分配策略

流量分配是影响并行入侵检测系统实时性的重要因素。首先提出了一种以局部时间内探测节点的负载平衡为目标,综合考虑探测节点的负载和处理能力的动态流量分配策略;然后通过引入负载平衡的粒度、益处估计,提出了一种动态负载平衡策略,达到了全局时间内探测节点的负载平衡;最后通过实验分析表明该策略是有效的。     

网络入侵检测系统中动态负载平衡策略的设计

随着互联网的广泛应用,网络信息量迅猛增长,网络攻击数量和方式大大增加,网络入侵检测系统需要部署多个感知器(Sensor)时网络监测和保护,通过增加Sensor,可以增强系统分析检测能力。然而,为了充分利用系统处理能力,需要动态分配处理节点任务,实现动态负载平衡。该文在分析网络入侵检测系统的基础上,提出负载值计算方法,结合通用负载平衡策略,提出了分布式入侵检测系统的动态负载平衡策略,实现了良好的动态负载平衡效果,提高了系统性能。     

一种基于社会网络分析的无线Mesh网络分布式协作入侵检测系统

本文研究了无线Mesh网络的结构特点,以及入侵检测系统在解决其安全问题中的重要作用。分析了网络中的监测节点对入侵检测系统检测的准确性、实时性、开销的影响。在此基础上,本文提出一种基于社会网络思想的入侵检测系统监测节点选择方法,并构建出一种分布式协作的入侵检测检测系统。本文提出的监测节点选择方法综合考虑了节点全局中心性和节点间的联系紧密程度,提出的分布式协作结构能有效降低冗余的检测开销,同时保证检测的实时性和监测信息的有效性。     

一种基于网络处理器的入侵检测系统

针对目前入侵检测系统的处理速率远远不能满足网络的高速发展，通过对现有IDS的体系结构和算法进行重新设计，提出了一种新的网络入侵检测体系结构。新的体系结构采用网络处理器在网络底层实现数据的采集与分析，提高了IDS的运行速度和效率，能较好地适应高速网络环境下的入侵检测。     

移动Ad Hoc网络的入侵响应研究

传统网络中的入侵阻止和检测等防护方法在网络结构脆弱、节点移动的移动自组网络中无法达到预期效果。将移动代理引入无线自组网络中,设计分布式入侵检测响应系统,通过多种功能的移动代理实现入侵检测功能,并在入侵检测的基础上利用移动代理跟踪、隔离入侵节点,对入侵节点做出及时响应。实验结果表明此方法节省网络节点资源、避免网络的崩溃且达到主动响应隔离入侵节点的效果,有效地检测并阻止了入侵行为。     

一种用于并行入侵检测系统的数据分流策略

流量分配是影响并行入侵检测系统实时性的重要因素。提出了一种数据分流策略,将捕获的网络数据按照某种分流策略转发到多个探测器进行处理,解决目前基于网络的入侵检测系统跟不上高速网络发展而带来的丢包问题,达到提高整个系统的检测性能。最后通过试验分析表明该策略是有效的。     

分布式入侵检测中基于能力与负载的数据分割算法

针对高速网络环境下分布式入侵检测中海量数据并行检测处理的效率和检测率问题,提出一种基于能力与负载的数据分割算法。该算法依据采集到的集群内各数据分析节点的系统性能指标及运行状态,评估节点的数据处理能力与负载程度。基于节点的能力与负载适应因子,权衡节点在集群中检测和分析数据能力的权重,实现海量数据在集群内各数据分析节点间的动态数据分割,为节点分配适应其能力与实时负载的数据粒度。仿真测试结果表明,该算法具有较好的负载均衡性,降低了系统的检测时间,提高了数据并行处理的效率和检测率。     

基于数据流管理平台的网络安全事件监控系统

复杂而繁多的网络攻击要求监控系统能够在高速网络流量下实时检测发现各种安全事件．数据流管理系统是一种对高速、大流量数据的查询请求进行实时响应的流数据库模型．本文提出了一种将数据流技术应用到网络安全事件监控中的框架模型．在这个模型中，数据流管理平台有效地支持了对高速网络数据流的实时查询与分析，从而保证基于其上的网络安全事件监控系统能够达到较高的处理性能．利用CQL作为接口语言，精确描述安全事件规则与各种监拉查询，具有很强的灵活性与完整性．另外，系统能够整合入侵检测、蠕虫发现、网络交通流量管理等多种监控功能，具有良好的可扩展性，     

An efficient parallel-network packet pattern-matching approach using GPUs

In the past few years, the increase in interest usage has been substantial. The high network bandwidth speed and the large amount of threats pose challenges to current network intrusion detection systems, which manage high amounts of network traffic and perform complicated packet processing. Pattern matching is a computationally intensive process included in network intrusion detection systems. In this paper, we present an efficient graphics processing unit (GPU)-based network packet pattern-matching algorithm by leveraging the computational power of GPUs to accelerate pattern-matching operations and subsequently increase the overall processing throughput. According to the experimental results, the proposed algorithm achieved a maximal traffic processing throughput of over 2 Gbit/s. The results demonstrate that the proposed GPU-based algorithm can effectively enhance the performance of network intrusion detection systems.     

基于数据流的异常入侵检测

目前，基于机器学习的异常入侵检测算法通常建立在对整个历史数据集进行等同的学习基础之上，学习到的网络行为轮廓过于依赖历史数据，难以准确反映当前网络通信量的行为特征。同时，算法的时间和空间复杂度较高，难以对网络中持续快速到达的大规模数据报文进行存储与维护。本文提出，一种基于数据流聚类的两阶段异常入侵检测方法，首先在线生成网络数据的统计信息，并利用最能反映当前网络行为的统计信息检测入侵行为。实验结果表明，其检测性能优于基于所有历史数据进行入侵检测的结果，并克服了内存等系统资源不足的问题，增加了系统的灵活性与并行性。     

NetHost-sensor: Monitoring a target host's application via system calls

Intrusion detection has emerged as an important approach to network, host and application security. Network security includes analysing network packet payload and other inert network packet profiles for intrusive trends; whereas, host security may employ system logs for intrusion detection. In this paper, we contribute to the research community by tackling application security and attempt to detect intrusion via differentiating normal and abnormal application behaviour. A method for anomaly intrusion detection for applications is proposed based on deterministic system call traces derived from a monitored target application's dynamic link libraries (DLLs). We isolate associated DLLs of a monitored target application; log system call traces of the application in real time and use heuristic method to detect intrusion before the application is fully compromised. Our investigative research experiment methodology and set-up are reported, alongside our experimental procedure and results that show our research effort is effective and efficient, and can be used in practice to monitor a target application in real time.     

基于数据分流实现高速网入侵检测的研究与实践

随着以太网的发展，目前基于网络的入侵检测系统已经无法适应高速增长的网络速度，提出了一种数据分流的方法，将捕获的网络数据按某种规则分流转发至多个检测设备进行处理，以达到提高整个系统的检测性能，解决高速网络下网络入侵检测设备因性能缺陷而带来的丢包问题。     

动态规划理论在DSAMDP方法中的优化研究

网络入侵检测系统在流量大的情况下经常会出现较高的丢包率,曾提出通过DSAMDP(Dynamic Self-Adapting Multimedia Data Processing,动态自适应多媒体数据处理)方法来解决这一问题,收效良好。在此基础上,使用动态规划理论对DSAMDP方法的决策过程进行优化,在兼顾系统负载能力的同时,使每个时间片内选取的多媒体数据包序列的危险度达到最高。这种方法可使网络入侵检测系统将有限的处理能力集中处理那些更具危险性的多媒体数据包。实验结果表明,该方法可提高系统对高危多媒体信息的检测率。     

AC-BM算法的改进及其在入侵检测中的应用

分析了入侵检测和网络流量中存在的问题。如果没有很快的处理速度，字符串匹配就会成为一个瓶颈。对于网络入侵检测系统来说，单一的字符串搜索包负载是缺乏效率的。它不能跟上日益增长的网络速度。因此，提出了一种改进的AC—BM算法。它是多模式匹配的算法。正如本文中所显示的一样，由于采用了改进的AC—BM算法，网络入侵枪测的性能有了改善。     

基于粗糙集的进化神经网络入侵检测系统研究

针对目前实时入侵检测系统所处理的网络数据具有的非线性和高维的特点,提出基于粗糙集理论的进化神经网络入侵检测方法。对网络中截获的数据,利用粗糙集属性约简方法对其属性集进行约简,得到影响分类精度的重要属性。把约简后形成的训练样本进行数值化和归一化处理,作为神经网络的输入数据,再利用遗传算法较强的宏观搜索能力和全局寻优的特点,优化神经网络权值,并在此基础上进行神经网络学习,从而建立入侵检测系统的优化分析模型。实验结果表明,该算法学习速度快,有效提高了入侵检测系统的检测效率。     

一种网络入侵检测中的数据包采样方法 *

数据包采样方法是提升数据包处理能力很好的方法 ,在网络流量监测分析中得到了广泛应用。然而 ,传统的数据包采样算法应用在 IDS中会极大降低入侵检测率。针对入侵检测的特性 ,利用攻击流量和正常流量在时间上的连续性 ,提出了一种新的数据包采样方法 ,在保证检测率的前提下 ,极大地提升了 IDS的处理能力。     

基于OpenFlow的入侵检测评估模型

针对传统测评方法依赖模拟环境来仿真真实网络流量的现状,提出一种基于OpenFlow的入侵检测评估系统.该系统基于软件定义网络技术（OpenFlow）的入侵检测评估模型,随后对该模型的框架、设置方法、具体工作过程等进行详细阐述,设计了基于该模型的测评系统,该系统利用OpenFlow灵活的网络控制能力为IDS测评搭建真实可控的网络环境,提供入侵检测所需的真实网络流量和攻击数据.最后利用该测评系统对该模型进行试验仿真,实验结果表明传统方法相比,本文提出的基于OpenFlow的入侵检测评估模型在测评效果和准确性上有较好的性能.