Web应用安全监测系统设计与应用

针对Web应用的攻击种类繁多、变化多样,基于静态规则库的旧的防护体系已经很难适应当前Web应用安全的新状况,提出了将无指导学习方法与合法规则检测模型相结合的Web应用安全防护新思路,设计了基于Web应用结构分析和流程分析的安全监测算法,并进行了系统实现.实现的Web应用安全监测系统现已应用于清华大学网络学堂,很好地实现了对Web应用访问请求信息的安全分析与监测.     

基于模型的Web应用测试

提出了基于模型的Web应用测试方法,包括建模、测试用例生成、测试用例的执行、模型以及测试用例的可视化等关键技术.设计并实现一个基于模型的Web应用测试系统.以FSM作为被测Web应用的形式测试模型,集成了模型转换器、测试目标分析器、测试序列生成器、FSM和测试序列可视化以及Web应用测试执行引擎等工具.除支持状态覆盖、...     

Web应用功能交互的建模与测试用例生成

为了产生更有效的测试用例,以Web应用为研究对象,按功能将Web应用划分成若千个功能构件,把Web应用看成是功能构件的集合,针对其相应的交互功能,用FSM对其功能交互行为进行建模.在此基础上提出了完整消息传递序列测试准则,并根据该测试准则生成抽象的测试用例集,以实现对Web应用交互性的测试,提高Web应用测试的有效性,力图实现Web应用测试的自动化.最后设计了一个工具原型用于测试用例的生成.     

面向软件攻击面的Web应用安全评估模型研究

Web应用已成为互联网和企事业单位信息管理的主要模式。随着Web应用的普及,攻击者越来越多地利用它的漏洞实现恶意攻击,Web应用的安全评估已成为信息安全研究的热点。结合Web应用的业务逻辑,提出了其相关资源软件攻击面的形式化描述方法,构造了基于软件攻击面的攻击图模型,在此基础上,实现对Web应用的安全评估。本文构造的安全评估模型,在现有的通用漏洞检测模型基础上,引入业务逻辑安全性关联分析,解决了现有检测模型业务逻辑安全检测不足的缺陷,实现了Web应用快速、全面的安全评估。     

Apache SuEXEC安全模型的分析与改进

随着Internet的广泛应用,通过WWW对网络的攻击日益增多,作为实现WWW交互能力的重要手段CGI（common gateway interface),其安全机制直接影响到Web服务器的安全性,使攻击者有可能通过Web服务器实现其攻击目的,比较了3种主要的保护CGI程序安全运行模型,并通过对一个攻击例子和对Apache SuEXEC CGI安全模型源代码的分析,提出该例子的攻击链可以通过SuEXEC的安全防护层并讨论其不安全的因素,给出了相应的防御措施,提出了一个改进的CGI安全保护层模型。     

基于二维安全防护体系的WAF系统

针对Web攻击,传统防火墙对应用层防护存在不足,而Web应用防火墙可利用其架构的技术优势,应对繁多的攻击方式。给出二维安全防护系统及Web服务器核心内嵌模型,进一步给出Web应用防火墙设计实现方案。实验表明,该系统能够解决Web应用安全问题,具有较高的网络性能,支持策略的定制与扩展。     

基于使用模型的Web应用软件统计测试

Web应用软件一般都具有体系结构复杂、代码量大、页面众多且相互联结的特点,在一定的时间和投入内,显然是无法做到穷尽的测试,而确保Web应用软件可靠性的一个很好的可选方案就是基于使用模型的Web统计测试,以便重点测试用户频繁使用的路径和页面,使测试效率达到最高。针对这个问题,提出了一个能够反映系统真实使用情况的Web统计测试的使用模型WSUM,该模型基于Web应用的导航行为图和日志文件进行构建,对于用户的导航行为的描述更为全面和准确。在此基础上,还提出了基于使用模型WSUM设计和生成测试用例的方法,并给出了应用此方法进行统计测试的例子。     

Web服务消息级安全功能测试工具设计与实现

提出一种Web服务安全性测试框架,能有效规范安全性测试过程,增强测试效能。针对Web服务安全功能测试需求定义与测试策划阶段,分析Web服务主要的安全功能需求、实现标准及实施Web服务安全性测试的一般原理。针对测试执行阶段,设计并实现了一个Web服务消息级安全功能测试工具,能够自动生成安全性测试用例,实验表明该工具是适用且有效的。     

基于Stacking融合模型的Web攻击检测方法

随着计算机技术与互联网技术的飞速发展,Web应用在人们的生产与生活中扮演着越来越重要的角色。但是在人们的日常生活与工作中带来了更多便捷的同时,却也带来了严重的安全隐患。在开发Web应用的过程中,大量不规范的新技术应用引入了很多的网站漏洞。攻击者可以利用Web应用开发过程中的漏洞发起攻击,当Web应用受到攻击时会造成严重的数据泄露和财产损失等安全问题,因此Web安全问题一直受到学术界和工业界的关注。超文本传输协议(HTTP)是一种在Web应用中广泛使用的应用层协议。随着HTTP协议的大量使用,在HTTP请求数据中包含了大量的实际入侵,针对HTTP请求数据进行Web攻击检测的研究也开始逐渐被研究人员所重视。本文提出了一种基于Stacking融合模型的Web攻击检测方法,针对每一条文本格式的HTTP请求数据,首先进行格式化处理得到既定的格式,结合使用Word2Vec方法和TextCNN模型将其转换成向量化表示形式;然后利用Stacking模型融合方法,将不同的子模型(使用配置不同尺寸过滤器的Text-CNN模型搭配不同的检测算法)进行融合搭建出Web攻击检测模型,与融合之前单独的子模型相比在准确率、召回率、F1值上都有所提升。本文所提出的Web攻击检测模型在公开数据集和真实环境数据上都取得了更加稳定的检测性能。     

一种面向Web服务的分层安全模型

随着Web服务技术的应用与发展,Web安全问题日益突出.简要分析了Web Sevrice对通信安全的需求,指出了传统安全通信机制应用于Web Service的局限.针对Web服务应用模式,提出了一种基于XML安全技术的分层安全模型,研究了该模型的通信机制和实现方法,并对SOAP消息的安全通信进行了探讨.该模型具有灵活性和可扩展性,满足了Web服务的安全需求.     

CSCW系统中协同感知的研究

协同感知理论的研究与应用是计算机支持的协同工作的重要研究内容之一.在研究分析了传统的协同感知所依赖的CSCW体系结构的基础上,提出了一种基于P2P的三层结构的协同感知框架,该架构很适合于CSCW中项目可以划分为若干个相对独立的模块的情形.最后对该框架的具体感知模块进行了分析,并讨论了下一步研究将要解决的问题.     

基于透明度的目标提取的研究

景象提取的目的是将数字图像中的景物从背景中分离出来,为了更好地实现这一目的,微软亚洲研究院Jian Sun等人于2004年提出Poisson Matting方法.该方法将透明度(α值)作为图像的一种内在属性,变分地寻求其最优解,来达到目标提取的目的.主要介绍Poisson算法,针对Poisson算法中程序运行时间比较长的问题,对算法中耗用时间多的两个步骤:图像初始α值的计算以及前景图像F、背景图像B的计算进行了改进,在VC6.0中进行了实现,并取得了较好效果.     

NTFS下文件隐藏方式研究

开放环境下信息的安全与保护有着重要的研究价值。对待隐藏文件无需专门分配存储空间,而是将其转移存储到系统文件的内部碎片中。隐藏文件的文件名、带路径的宿主文件名及二者对应关系加密后分别存放在两个普通文件中。实验及研究表明此种方式能够对数据做到深度隐藏。     

基于XQuery查询优化的研究

XML已经成为网络上信息描述和信息交换的标准,随着XML应用得越来越广泛,人们提出了多种XML 数据的查询方法.但是,很多查询方法都有各自的局限性.利用有意义的最小公共实体结构EntityInMLCAS(Entity In Meaning Lowest Common Ancestor Structure)原理,提出一种优化查询方法.同时采用堆栈技术的方法对XML文档结点树进行自顶向下的遍历,该方法大大提高了优化查询的速度.     

基于RBAC的WEB环境下OA系统权限控制的研究

WEB环境下OA(Office Automation)系统的权限控制是一个热点问题.针对此问题详细介绍了一种实用的解决方法--基于角色访问控制模型的方法,并在此基础上根据实际项目重点阐述了RBAC数据库的设计方法,以及基于RBAC数据库的权限控制的设计方法,最后给出权限子系统的具体配置步骤,并给出实际运行结果.     

基于自动机理论的XML查询重写研究

研究了基于自动机理论的XML查询重写问题,尤其针对局部查询重写技术作了深入研究.通过实例对其有效性进行了合理的分析.     

基于数字音频广播技术的数据服务介绍

依据对数字音频广播技术的相关国际标准分析,仔细阐述了目前各类基于数字音频广播技术的数据服务类型,提出了一种基于广播网络的数据服务的基本体系结构.经过对数字音频广播国际标准的协议栈分析,着重介绍了网络层和应用层的划分,以及这两层内目前流行的各种协议.最后,介绍了北京市基于此类标准的数据服务的实现方法.     

基于构件组装的项目管理系统开发研究

由于项目管理技术的不断提升和管理模式的多样化,不同行业甚至不同企业对项目管理系统的要求各不相同。如何利用软件构件技术快速地构造新的项目管理系统成为急需解决的问题。从项目管理系统的框架出发,首先对构件进行了形式化定义,然后基于此定义对项目管理系统组成部分进行了形式化描述,最后利用定义好的连接器,通过顺序、选择和并行三种组装方式组装成项目管理系统。并在此基础上提出了基于构件组装的PMS开发模型。     

基于个人微博特征的事件提取研究

个人微博在事件提取上大多都是运用文本进行相似度计算最终达到聚类结果,而没有充分的考虑到微博特征。针对微博标签、URL、时间等特征,提出一种基于微博特征的事件提取算法。该算法针对微博的特征进行TF-IDF的改进,并加入标签相似度,URL相似度,进行综合相似度计算,最后按时间先分段后合并的改进K-means聚类方法得出事件提取结果。实验结果表明,基于微博特征的事件提取算法对微博关键字提取和事件提取的精确度有明显的提高。