一种基于网络安全风险评估的入侵检测方法

针对传统的入侵检测系统存在报警数量大、误报率高等缺陷,提出了一种基于网络安全风险评估的入侵检测方法,该方法基于入侵检测结果,引入抗体浓度随入侵强度动态变化这一人工免疫理论的最新研究成果进行网络安全风险的计算,然后根据当前网络面临的实时安全风险动态设置报警策略。实验结果表明,该方法能够实时、定量地计算主机和网络所面临的风险,并极大地降低报警数量和误报率。     

一种基于网络行为的入侵检测方法

目前,入侵检测系统Snort还没有好的方法来检测和分析网络行为。文章通过对网络入侵检测流程的分析,基于网络的入侵攻击行为特征,构建出一种攻击树,按照攻击树的方法对数据流进行行为匹配,检测出入侵攻击行为。实验证明,这一基于网络行为匹配的入侵检测方法,大大提高了Snort的入侵检测能力。     

一种基于Web日志和网站参数的入侵检测和风险评估模型的研究

随着网络技术的不断发展,网上冲浪变得并不像以前那么的安全,持续不断的网络漏洞导致越来越多的网站正面临着被入侵的风险。为了维护网站的安全性,人们提出了许多与入侵检测相关的研究方案。其中,基于实时系统的入侵检测方案在众多研究中占了绝大一部分,这种系统能在网站受到入侵时给出第一时间的警告和防护,但是一旦一个网站已经受到了入侵,那么这些检测手段将变得毫无作用。除此之外,另外一些学者还提出了一些非实时入侵检测方案,非实时入侵检测方法可以运用在系统受到入侵之后,它们的主要作用是对入侵行为进行溯源。但是由于每个网站的整体架构都不一样,这种检测方法并不能评估一个网站所面临的入侵风险的大小。文章在基于Web日志和网站参数的前提下,提出了一个用于非实时入侵检测的风险评估模型。这个模型可以根据不同的网站参数定义不同的评估策略,这种评估策略会为每种攻击方式分配一定的权重,通过这些权重和Web日志所匹配的攻击信息,模型可以计算出系统的风险模糊值从而评估系统所遭受攻击的风险程度。实验结果表明文章的研究能有效地检测出每个网站所面临的入侵风险,它将对保护网站安全以及防御黑客攻击起到很重要的作用。     

一种基于免疫的入侵检测关联报警模型

在入侵检测系统Snort的基础上,结合网络实时危险评估技术,提出了一种基于免疫的网络入侵检测报警模型SAIM。给出了网络环境下记忆细胞的表示方法,以及记忆细胞实时危险计算过程,建立了主机分类及总体实时危险计算方程,在此基础上给出了网络入侵检测报警模型。理论分析和试验结果均表明,SAIM模型能有效进行关联报警,提高报警质量。     

基于目标图的入侵检测报警关联算法

针对入侵检测系统响应能力差以及误报率高的问题,提出了基于目标图的入侵检测报警关联算法.该算法在动作节点之间实现报警信息的前因后果链关系,并根据报警信息显式地跟踪系统状态变化以及攻击者的主观状态,监视状态的变化,推断攻击者的意图以及攻击策略.实验表明,该方法产生的关联结果能够很好地发现攻击者意图以及攻击策略,并且能够有效地降低入侵检测系统的误报率.     

基于统计阈值的Snort规则集动态产生的设计与实现

Snort作为开源的入侵检测系统,利用定义的静态规则集合实现对网络的入侵事件的检测。本文分析入侵检测系统的基本原理和模型,阐述Snort入侵检测系统部署到网络时,其静态规则集的配置方法,根据统计流量阈值和告警频率阈值动态产生动态规则集的方法,改进并提高了部署Snort应有的灵活性。     

入侵检测系统的测试和评估研究

入侵检测系统的测试和评估一直是业界普遍关注的内容。但目前对IDS仍然没有一个公开的测试或评估标准,目前入侵检测系统的误报率、漏报率仍然较高,吞吐量也有待提高。本文探讨了入侵检测系统的测试和评估技术,目前没有统一的入侵检测标准,因此本文从各个不同的角度对Snort进行测试。测试表明Snort在百兆以内的网络环境有很好的表现,但在千兆环境中将发生不同程度的丢包情况。     

基于Snort的入侵检测系统的研究及BM算法的改进

入侵检测系统是传统被动方式的网络安全检测手段的重要补充,它是一种主动、实时、自动检测入侵行为的工具和手段。Snort是一个成熟的开放源代码的网络入侵检测系统,介绍了入侵检测系统的基本原理,研究了入侵检测系统Snort的体系结构、规则的解析流程和检测流程,对Snort的BM字符匹配算法进行深入研究,提出了BM字符匹配算法的改进方法。     

基于ASP的入侵检测系统的研究

本文通过对入侵检测系统Snort的基本介绍和Snort抓取包后存放的数据库的重点分析,利用目前已经比较成熟的B/S模式的ASPweb技术加以分析,直观化反应,形成了一套比较规整的网络信息分析系统。利用Mysql数据库把Snort和ASP联系起来,形成一个实时监控的网络报警机制。实现了对网络服务器的监控和响应机制。     

基于反馈信息加速Snort规则匹配的研究与实现

实验表明某一类型的网络攻击事件在相对集中的时间内相对活跃,此外都相对沉寂。对于基于特征的开源入侵检测系统Snort来说,如何提高速度以适应高速网络的发展是关键。文中对Snort的规则匹配算法及其多种改进算法进行比较分析,提出了一种利用反馈攻击入侵频度及老化因子的新算法,在消除入侵频度记录历史影响的基础上,实时的更新规则匹配顺序,从而提高规则的匹配速度。     

入侵检测系统的可信性及其改进策略研究

入侵检测系统在网络安全中有重要的作用,但是入侵检测系统的可信性问题一直没有很好解决,成为困扰入侵检测技术发展的一个主要因素.因此,为了改善入侵检测系统的可信性,给出了可信度的数学定义,阐明了可信度和虚警率、漏警率及检测率的关系;分析了产生虚警的原因.以Snort系统为仿真对象,提出了系统的改进结构、关联性分析模块和报警分析器,并对报警分析的3种方法进行了说明;最后介绍了系统的仿真测试和数据分析结果.     

基于连接数据分析和OSELM分类器的网络入侵检测系统

针对网络入侵的实时高效检测问题,提出一种基于网络连接数据分析和在线贯序极限学习机(OSELM)分类器的网络入侵检测系统(IDS)。首先,对入侵数据库中的网络连接数据进行分析,通过特征选择算法选择出最优特征子集。然后,迭代执行交叉验证,并通过Alpha剖析来缩减样本尺寸,以此减低后续分类器的计算复杂度。最后,利用优化后的样本特征集来训练OSELM分类器,以此构建一个网络实时入侵检测系统。在NSL-KDD数据库上的实验结果表明,提出的IDS具有较高的检测率和较低的误报率,同时检测时间较短,符合实时入侵检测的要求。     

改进的AdaBoost算法在IDS入侵检测中的应用

网络入侵检测系统IDS中,异常数据所占的比例非常小,属于小类样本,却是检测的目标。在AdaBoost算法基础上进行改进,通过对大类样本权重设置阈值,对权值超过阈值的样本进行相应处理,来削弱分类器对大类样本错分的重视程度,减轻下一级训练的负担,从而有效地强化对小类错分样本的学习,提高入侵检测的精度,降低误报率和漏报率。方法在KDD-99数据集上进行实验,并与SVM方法检测结果进行比较,取得了很好的效果。     

基于流数据分类挖掘算法在入侵检测的应用

传统基于数据挖掘的入侵检测系统、只能检测系统层和应用层的日志和报文,对于节点流进和流出的数据流,无法进行挖掘分析,因此,系统的虚警率和漏警率较高,本文提出一种基于流数据分类挖掘算法的入侵检测方法,验证结果显示,可以降低系统的虚警率和漏警率,提高网络的安全性。     

Snort入侵检测系统中的规则泛化模型

针对Snort系统不能检测新的入侵行为的缺点,提出一种基于规则泛化的Snort入侵检测系统的改进模型。该模型结合Snort规则的特征和数据挖掘中的知识,提出聚类泛化和最近邻泛化两种新的规则泛化方法来改进规则,增强Snort的检测能力,从而达到识别更多入侵行为的目的。实验结果表明：在不显著增加误报率的前提下,采用规则泛化的Snort能够检测出原来系统不能发现的入侵行为,提高检测率达8.2%。     

协议分析技术在入侵检测中的应用

入侵检测技术是安全防护的重要手段,但是传统的入侵检测系统在高速网络环境下由于误报率和漏报率过高而难以满足实际需要。文中分析了基于模式匹配的入侵检测系统的不足,提出了把协议分析技术和模式匹配技术相结合的检测模型,最后讨论了一种对入侵检测系统的规则库进行精简的方法。这些方法提高了检测准确率和效率,使得入侵检测系统能够适应高速网络环境。     

利用关联和风险评估方法减少误报和漏报 *

高误报和漏报率是入侵检测系统面临的主要问题。提出了一种利用关联和风险评估的方法 ,利用构建的安全关联模型 ,计算出每个安全事件 (如告警事件、系统安全日志记录等 )的实时风险值 ,对风险值较高的事件给出新的警告 ,并摈弃那些风险值较低的事件 ,从而降低漏报和误报率。实验结果表明 ,利用这种方法实现的事件关联系统能够显著降低检测系统的误报和漏报率。     

机器学习在网络入侵检测中的应用

随着网络的快速发展,网络安全成为计算机网络中一个重要的研究方向。网络攻击日益频繁,传统的安全防护产品存在漏洞, 入侵检测作为信息安全的重要防护手段弥补了防火墙的不足,提供了有效的网络入侵检测措施,保护网络安全。然而传统的入侵检测系统存在许多问题,基于机器学习的入侵检测方法实现了对网络攻击的智能检测,提高了入侵检测的效率,降低了漏报率和误报率。本文首先简要介绍机器学习的部分算法,然后对机器学习算法在网络入侵检测中的应用进行深入的分析,比较各个算法在入侵检测应用中的优势和缺点,最后总结了机器学习的应用前景,为获得性能良好的网络入侵检测和防御系统奠定基础。     

基于相对熵理论的多测度网络异常检测方法

检测率低、误报率高和检测攻击范围不够全面已经成为制约网络异常检测发展的最大障碍,为了提高检测率,降低误报率,扩大检测攻击范围,提出了一种新的网络异常检测方法。首先,对网络流量进行统计分析并引入相对熵理论来表征测度对应的全概率事件;然后,通过加权系数融合多个测度相对熵而得到加权相对熵;最终,以综合的多测度加权相对熵作为网络异常判断的依据。实验数据采用DARPA1999测评数据集,实验结果表明该方法在低误报率的前提下,达到了较高的检测率。