自适应虚警处理框架研究与实现*

在分析虚警来源及现有处理技术的基础上,提出了一个具有自适应能力的入侵检测系统虚警处理框架。该框架可以自动适应环境的变化和攻击技术发展带来的变化,从不同角度减少虚警,提高警报数据质量。     

利用主机软件信息消除NIDS虚警

由于缺乏对网络主机上下文的了解,多数基于特征的NIDS(网络入侵检测系统)产生的虚警数量太多,使得管理员无法尽快将注意力集中到真正有威胁的报警上.通过改进已有的MDS使其能够有效利用网络主机上的软件信息消除MDS虚警的有效方法,改进后的MDS根据已知的受监控网段内的主机软件信息,在与入侵规则做匹配之前进行预先判断,过滤掉不需要匹配的入侵规则,从而减少很多没有实际意义的报警记录.改进后的NIDS原型系统在企业内部网实施的实测结果显示,该方法确实可以达到减少虚警数量提高报警质量的目的.     

基于移动代理的上下文感知系统研究

上下文表是用上下文信息描述实体状态,原子上下文感知反应则说明了系统根据当前上下文和历史上下文做出合适的响应.基于以上两个概念设计了上下文感知移动代理、系统代理和上下文感知移动代理服务环境,目的是解决普适计算系统需要自动适应用户行为及环境变化的问题.首先使用历史上下文与当前上下文提取上下文表达式,根据该表达式在上下文反应容器中匹配对应的操作,然后由系统代理执行该操作,为用户提供任务相关的服务或者信息.其次根据原子上下文感知提出若干实例,并由上下文感知演算验证,同时指出上下文感知演算的不足.最后,用染色Petri网对一个实例场景仿真,证明了系统的可行性.     

异常入侵检测系统虚警率问题研究

入侵检测系统的虚警率影响检测结果的可信性.通过分析入侵检测系统的可信问题及异常入侵检测系统的虚警率问题,提出了降低虚警率的方法:基于进程检测行为的入侵检测方法、多检测系统协作工作模式.重点描述了基于人工免疫思想,动态构建正常系统轮廓,抑制虚警率的方法,并对其进行了仿真实验.实验表明,本方法可以提高检测效率,有效降低系统虚警率.     

基于粗糙集理论的网络型入侵检测系统

为解决目前大多数入侵检测产品或模型对未知攻击的检测都存在精度低或者虚警率高的问题，建立了一个基于网络的入侵检测实验平台，使用了多种新的攻击工具实施攻击；并在此基础上提取了网络连接的29项实时特征；应用粗糙集理论实现了一个网络连接的检测器。经实验表明，所选取的网络连接特征能较好地反映网络安全状况，粗糙集理论应用于多类分类问题和未知攻击的检测方面是有效的。     

基于粗糙集理论的网络型入侵检测系统

为解决目前大多数入侵检测产品或模型对未知攻击的检测都存在精度低或者虚警率高的问题，建立了一个基于网络的入侵检测实验平台，使用了多种新的攻击工具实施攻击；并在此基础上提取了网络连接的29项实时特征；应用粗糙集理论实现了一个网络连接的检测器。经实验表明，所选取的网络连接特征能较好地反映网络安全状况，粗糙集理论应用于多类分类问题和未知攻击的检测方面是有效的。     

机器学习在工业网络入侵检测中的研究应用

在工业化和信息化两化深度融合的背景下,工业控制网络面临着高强度、持续性的恶意渗透和网络攻击,对国家安全和工业生产构成了巨大威胁.检测工业控制网络遭受恶意攻击,高效区分正常数据和攻击数据的研究已成为热点问题.以密西西比州立大学SCADA实验室的能源系统攻击数据集作为工业控制网络入侵检测的主要研究对象,对比不同机器学习算法的准确率、漏警率、虚警率等重要指标,得出综合性能最优的XGBoost算法.为进一步提高入侵检测效率,提出了一种针对XGBoost算法的包裹式特征选择方法,在简化数据集的同时突出不同特征在入侵检测中的重要性.研究结果表明,结合包裹式特征选择的XGBoost算法能有效解决入侵检测问题并提高入侵检测效率,验证了此方法的有效性和科学性.     

入侵检测与防火墙的联动平台研究

通过分析入侵检测系统和防火墙技术的各自优势,认为实现防火墙的数据过滤与入侵检测的实时监控间的有效互补是非常重要的。提出了网络安全事件的基本分类方法,定义出入侵检测系统提供给防火墙的信息格式,采用向入侵检测系统和防火墙中嵌入相关模块的方法,实现了入侵检测系统对攻击行为的自动响应,从而实现了防火墙与入侵检测系统间的协同工作。这样无论是来自内网还是外网的攻击,都可以被联动平台识别并自动响应。     

网络入侵检测系统中的警报聚类

到目前为止,网络管理员对入侵检测系统(IDS)所产生的警报还是以在辅助工具下的手工操作进行整理,从而得到一个高级别的攻击描述。为了有效融合多种入侵检测系统报警信息,提高警告的准确性,警报聚类自动分析工具被建议使用来产生高级别的攻击描述。除此之外,警报聚类自动分析工具还可以有效地分析威胁,融合不同的信息源,例如来自于不同IDS中的信息源。该文提出了新的警报聚类系统,以便把来自于多种IDS所产生的警报进行警报聚类,产生攻击描述。实验结果表明,通过警报聚类模块有效地总结攻击可以产生高级别的警报,并大幅度地减少了要提交给管理员的警报数量。此外,以这些高级别警报为基础还可以进一步地进行威胁分析。     

动态上下文知识的获取与共享

上下文感知系统需要获取和共享多种上下文知识,不仅包含环境参数的具体取值,也包含对环境状态描述时所用的词汇,也就是概念.上下文知识具有与生俱来的动态性,在设计时难以预知系统可能涉及的上下文信息.而大多数已有的系统缺乏完善的动态上下文知识维护机制,因此不支持上下文感知应用的运行时的扩展.提出一个基于本体的层次化上下文模型,以及基于此模型的动态上下文知识获取与共享框架(DCASI).框架中按需分散获取机制让各类上下文知识出自最有资格定义它的实体,使得上下文知识充足而又不冗余;双库集中共享机制按共享的不同作用维护两个知识库,有效支持了新上下文知识的定义和发现.原型系统验证了本框架的有效性.