基于免疫的新型入侵防御模型

针对真实网络环境动态变化的特点,提出了一种基于免疫的新型入侵防御模型。给出了模型及其检测性能的形式化定义和数学描述;建立了基于动态自体库的多代动态耐受、抗体动态变化的数学模型及变化方程。通过真实网络数据及KDDCup1999入侵检测评估数据进行了仿真对比实验。结果表明,本模型具有更高的检测率和更低的虚警率,有效提高了网络安全的防御能力。     

基于成本评估模型的入侵响应系统研究

入侵检测系统可以检测已发生的入侵行为并发出警告。自动入侵响应系统是入侵检测系统的扩展，它可以对检测到的攻击行为自动进行响应，因此对保护网络安全起重要的作用，而各种成本因素对其性能的影响很大。该文给出了自动入侵响应系统的构架，并介绍了一种基于成本评估模型的自动人侵响应系统：描述了其理论基础，分析了各种成本的计算方法及攻击行为分类对成本的影响，总结出成本模型公式；详细描述了创建该模型的方法，包括资产评估和机器学习等；使用仿真技术模拟攻击和响应，给出了实验结果，结果表明使用该模型能极大地降低响应成本；对该模型进行了一些改进以使其可以扩展到有效防御复杂攻击；指出了今后的研究方向。     

基于生物免疫原理的网络入侵检测研究

针对目前网络入侵检测系统普遍存在的误报、漏报及自适应差等问题,将生物免疫原理应用于网络入侵检测系统中,构建了一个新的基于生物免疫原理的网络入侵检测模型。介绍了生物免疫系统的原理,论述了生物免疫原理在网络入侵检测中的应用,详细阐述了该模型的工作原理及流程,并对该模型使用的否定选择算法和克隆选择算法进行了描述和分析。实验结果表明,该模型系统提高了入侵检测率,降低了虚警率,整体检测性能较好。     

基于生物免疫原理的网络入侵检测研究

针对目前网络入侵检测系统普遍存在的误报、漏报及自适应差等问题,将生物免疫原理应用于网络入侵检测系统中,构建了一个新的基于生物免疫原理的网络入侵检测模型.介绍了生物免疫系统的原理,论述了生物免疫原理在网络入侵检测中的应用,详细阐述了该模型的工作原理及流程,并对该模型使用的否定选择算法和克隆选择算法进行了描述和分析.实验结果表明,该模型系统提高了入侵检测率,降低了虚警率,整体检测性能较好.     

基于节点生长马氏距离K均值和HMM的网络入侵检测方法设计

传统的网络入侵检测方法存在着检测率低和无法进行在线检测的问题,为此设计了一种基于节点生长马氏距离K均值和HMM的网络入侵检测方法;首先,给出了入侵检测系统框图,然后,以马氏距离为评价准则,提出了一种节点根据距离阈值进行自适应生长的K均值算法以实现样本的聚类,得到样本属于各攻击类型的后验概率,并采用此后验概率来初始化HMM中的初始矢量分布、状态转移概率和观察值概率等参数,通过前向评估准则和后向评估准则对HMM模型进行训练,从而获得了HMM检测模型,将样本输入到各检测模型中并将概率最大的检测模型作为其攻击类型;仿真试验表明所提方法能有效地实现网络入侵检测,不仅具有较高的检测率,而且具有较低的误检率和漏检率,是一种有效的网络入侵检测方法。     

基于神经网络集成的入侵检测系统

目前,较为成熟的入侵检测系统普遍存在检测率偏低、对新的入侵不够敏感等问题,影响了系统的整体性能。在深入研究的基础上,本文提出了一种基于神经网络集成的入侵检测方法。该方法采用神经网络集成分类技术,在去除冗余数据的基础上对成员网络进行训练,并通过动态的方法确定成员网络的个数,最终通过神经网络对成员网络结果进行融合,以提高系统的整体性能。理论和实验表明,该方法能在保证成员网络差异性的同时提高入侵的检测率,具有较好的应用前景。     

基于模糊理论的入侵检测产品评估

随着对入侵检测技术的深入研究和入侵检测产品的广泛应用,对入侵检测系统评估的研究成了一个重要的研究领域,本文采用模糊理论和AHP层次分析法提出了一种综合评判入侵检测产品性能的方法,给出了模糊综合评价模型,并结合实例给出了入侵检测产品评估的步骤和方法,评价结果表明,本文提出的方法具有可行性和指导性,提高了评估结果的准确性和可信度.     

基于博弈论的信息安全技术评价模型

信息安全在企业信息系统建设中越来越重要,如何评价信息安全技术成为当前的一个研究课题.文中基于博弈论,对由防火墙、入侵检测系统和容忍入侵技术构成的三层安全体系结构进行了分析,提出了对信息安全技术进行评价的模型.在对入侵检测系统分析评价的基础上,重点分析了防火墙、入侵检测与容忍入侵的相互影响和关系.研究表明,IDS的检测率、误报率与防火墙的性能有密切关系,系统安全配置直接影响信息安全机制的性能和成本效益,容忍入侵机制取决于入侵的损失评估、系统的成本和防火墙与IDS的性能.信息安全机制的优化配置对于信息安全的效果具有重要影响.     

入侵检测系统评估技术述评

随着对入侵检测技术的深入研究和入侵检测产品的广泛应用，对入侵检测系统的评估成为一个重要的研究领域。本文说明了对入侵检测系统进行评估时的主要评价指标，包括入侵检测系统的检测率和误报、检测范围、检测延迟与负荷能力等方面。介绍了入侵检测评估的相关工作。分析了在1999年DARPA的离线评估中，所使用的测试网络环境和评估模型，并对其进行了评价。讨论了在对检测系统进行评估中的网络流量和主机使用模拟、攻击模拟以及评估报告的生成等关键技术。     

一种流异常自动检测系统的研究与实现

该文通过分析网络入侵检测的现状,给出了现有网络入侵检测技术的局限性,尤其针对现有网络流定性分析安全技术的不足,在分析了网络流的变化规律的基础上,指出可以利用网络流的灰色特性,预测网络流的异常。论文重点讨论了预测模型——GM(1,1)模型,在此基础上给出了一个基于灰色系统理论的网络流入侵检测系统——FAAD(流异常自动检测)网络监控系统。FAAD使用GM(1,1)模型,通过基于灰色系统理论的网络流异常检测算法,分析预测网络流值与实际网络流的偏差,判定网络是否受到入侵。论文最后给出了实验结果与该系统的评估。     

一种基于关联规则的分布式入侵检测模型

高虚警率和漏警率是当前入侵检测系统(IDS)的主要问题。采用基于CBW关联规则的数据挖掘算法,提出了一种新的分布式入侵检测模型,并分析了各模块的具体功能与实现。经实验分析,本模型可以有效降低虚警率和漏警率,同时在一定程度上实现各分节点间的快速协作检测能力。     

An automatically tuning intrusion detection system.

An intrusion detection system (IDS) is a security layer used to detect ongoing intrusive activities in information systems. Traditionally, intrusion detection relies on extensive knowledge of security experts, in particular, on their familiarity with the computer system to be protected. To reduce this dependence, various data-mining and machine learning techniques have been deployed for intrusion detection. An IDS is usually working in a dynamically changing environment, which forces continuous tuning of the intrusion detection model, in order to maintain sufficient performance. The manual tuning process required by current systems depends on the system operators in working out the tuning solution and in integrating it into the detection model. In this paper, an automatically tuning IDS (ATIDS) is presented. The proposed system will automatically tune the detection model on-the-fly according to the feedback provided by the system operator when false predictions are encountered. The system is evaluated using the KDDCup'99 intrusion detection dataset. Experimental results show that the system achieves up to 35% improvement in terms of misclassification cost when compared with a system lacking the tuning feature. If only 10% false predictions are used to tune the model, the system still achieves about 30% improvement. Moreover, when tuning is not delayed too long, the system can achieve about 20% improvement, with only 1.3% of the false predictions used to tune the model. The results of the experiments show that a practical system can be built based on ATIDS: system operators can focus on verification of predictions with low confidence, as only those predictions determined to be false will be used to tune the detection model.     

基于免疫的入侵检测系统可信问题研究

为了降低入侵检测系统的误报率和漏报率,提出了一种基于人工免疫的新型入侵检测系统模型。借鉴生物免疫系统抗体的演化机制,该模型改进了目前基于免疫的入侵检测系统中抗原、抗体的静态描述方式,给出了抗原、抗体的动态描述方式和变化机制,并针对传统固定r连续位匹配方法的不足,提出了一种r可变匹配机制,最后进行了相关仿真实验。理论分析和实验结果表明,该系统具有较低的误报率和漏报率,提高了入侵检测系统的可信性。     

异常入侵检测系统虚警率问题研究

入侵检测系统的虚警率影响检测结果的可信性.通过分析入侵检测系统的可信问题及异常入侵检测系统的虚警率问题,提出了降低虚警率的方法:基于进程检测行为的入侵检测方法、多检测系统协作工作模式.重点描述了基于人工免疫思想,动态构建正常系统轮廓,抑制虚警率的方法,并对其进行了仿真实验.实验表明,本方法可以提高检测效率,有效降低系统虚警率.     

一种IDS报警可信性增强方案*

提高IDS（入侵检测系统）报警的可信性是IDS的根本目标。从理论上分析了可信问题产生的原因,给出了其形式化描述,提出了一种多IDS协同工作提高检测可信度的方法,并证明了该方法可以应用于各种不同IDS的协同工作中（基于误用、异常及异常与误用相结合的IDS）。多检测系统结果融合时采用推进Bayesian分类方法,给出了其模型和具体算法。实验分析表明,该方法与其他同类算法相比,降低了系统的漏报率和误报率,增强了报警的可信度。     

一种异常入侵检测系统误报率抑制方法*

抑制入侵检测系统(IDS)的误报率是提高其检测结果可信性的重要途径。通过分析异常入侵检测系统的误报率问题,提出了基于人工免疫思想,动态构建正常系统轮廓,抑制误报率的方法。建立了自体、抗原、抗体的动态变化模型和演化机制,并进行了仿真实验。结果表明该方法可以有效降低异常入侵检测系统误报率。     

利用弱点评估提高入侵检测系统性能的分析与实现

当前的入侵检测系统存在的虚警问题和报警量过大的问题严重影响了在实际中的应用效果。分析了系统弱点与入侵之间的关系,提出了弱点信息与入侵检测报警信息的关联的表示方法,给出了利用它们之间的关联提高入侵检测系统性能的实现框架。     

A novel intrusion detection approach learned from the change of antibody concentration in biological immune response

Inspired by the relationship between the antibody concentration and the intrusion network traffic pattern intensity, we present a Novel Intrusion Detection Approach learned from the change of Antibody Concentration in biological immune response (NIDAAC) to reduce false alarm rate without affecting detection rate. In NIDAAC, the concepts and formal definitions of self, nonself, antibody, antigen and detector in the intrusion detection domain are given. Then, in initial IDS, new detectors are generated from the gene library and tested by the negative selection. In every effective IDS node, according to the intrusion network traffic pattern intensity, the change of antibody number is recorded from the process of clone proliferation based on the detector evolution. Finally, building upon the above works, a probabilistic calculation model for intrusion alarm production, which is based on the correlation between the antibody concentration and the intrusion network traffic pattern intensity, is proposed. Compared with Naive Bayes (NB), Multilevel Classifier (AdaBoost) and Hidden Markov Model (HMM), the false alarm rate of NIDAAC is reduced by 8.66%, 4.93% and 6.36%, respectively. Our theoretical analysis and experimental results show that NIDAAC has a better performance than previous approaches.     

A neuro-genetic based short-term forecasting framework for network intrusion prediction system

Information systems are one of the most rapidly changing and vulnerable systems, where security is a major issue. The number of security-breaking attempts originating inside organizations is increasing steadily. Attacks made in this way, usually done by ＂authorized＂ users of the system, cannot be immediately traced. Because the idea of filtering the traffic at the entrance door, by using firewalls and the like, is not completely successful, the use of intrusion detection systems should be considered to increase the defense capacity of an information system. An intrusion detection system （IDS） is usually working in a dynamically changing environment, which forces continuous tuning of the intrusion detection model, in order to maintain sufficient performance. The manual tuning process required by current IDS depends on the system operators in working out the tuning solution and in integrating it into the detection model. Furthermore, an extensive effort is required to tackle the newly evolving attacks and a deep study is necessary to categorize it into the respective classes. To reduce this dependence, an automatically evolving anomaly IDS using neuro-genetic algorithm is presented. The proposed system automatically tunes the detection model on the fly according to the feedback provided by the system operator when false predictions are encountered. The system has been evaluated using the Knowledge Discovery in Databases Conference （KDD 2009） intrusion detection dataset. Genetic paradigm is employed to choose the predominant features, which reveal the occurrence of intrusions. The neuro-genetic IDS （NGIDS） involves calculation of weightage value for each of the categorical attributes so that data of uniform representation can be processed by the neuro-genetic algorithm. In this system unauthorized invasion of a user are identified and newer types of attacks are sensed and classified respectively by the neuro-genetic algorithm. The experimental results obtained in this work show that the system achieves improvement in terms of misclassification cost when compared with conventional IDS. The results of the experiments show that this system can be deployed based on a real network or database environment for effective prediction of both normal attacks and new attacks.     

基于P2DR模型的分布式入侵检测系统设计与实现

文章设计并实现了一个入侵检测系统———SC-IDS,该系统采用滥用和异常相结合的检测方法,分布式的体系结构,符合P2DR模型。克服了传统系统的缺点,如误警率和漏警率高、可扩展性弱、不能适应大规模网络、不能与其它安全产品协同工作等。在实际应用中取得了良好效果。