基于本体的Web服务攻击检测技术研究

Web服务在给基于异构平台的应用集成带来极大便利的同时,各核心组件也面临着被恶意攻击的威胁。目前,主要依靠入侵检测系统(IDS)来检测这些攻击,但是分布在网络中的IDS往往是由不同的厂商或组织开发的,没有用于交换知识的可被共同理解的词汇集,难以交互和协作,工作效率低且很难抵御多层次、分布式攻击。提出了一种基于本体和Web本体标准语言（OWL）的Web服务攻击分类和描述方法,通过构建Web服务攻击本体以提供不同IDS共同理解的词汇集。在此基础上,设计了一种基于Web服务攻击本体库的入侵检测系统(O-IDS),能有效弥补现有IDS难以交互的不足,提高对多层次、分布式攻击的检测能力。     

一种面向检测的攻击分类方法及在IDS中的应用

对攻击进行分类，可以使攻击检测系统化，有助于构造高效的检测方法，从而改善IDS的性能。该文提出一种以IDS可直接收集的数据为基础、面向检测的攻击分类方法。进而将该方法应用于所有可在IDS网络数据源中检测出的攻击，提出DetectClass分类方法，用Z语言描述并证明其正确性；接着据此构造相应的检测方法。基于DetectClass攻击分类方法，设计开发原型系统DC-NIDS。     

一种面向检测的网络攻击分类器的设计与实现

对网络攻击进行分类,可以使攻击检测系统化,有助于构造高效的检测方法,从而改善IDS的性能。该文提出一种以协议分析为基础、利用IDS可直接收集的数据、面向检测的攻击分类方法。进而据此分类构造相应的检测方法,并设计开发了一种网络攻击分类器。     

基于APC攻击分类的自适应测试模型研究

通过模拟黑客攻击,可以对IDS进行性能评估,测试它们的检测率、误报率,从而进一步完善其性能。针对现有IDS测试需大量手工操作的不足,提出一个以APC(地址信息A、协议状态P、连接状态C)攻击分类方法为依据的自适应测试模型。该模型利用事先建立攻击决策库和攻击数据库、各测试环节自动执行,可提高测试速度,使测试过程智能化;通过模拟黑客攻击,有效降低IDS的评估误差。经实验验证,该系统模型是实用有效的。     

组合Web服务劫持攻击的研究与实现

组合Web服务在给基于异构平台的应用集成带来极大便利的同时,其自身面临着各种恶意攻击的威胁.根据组合Web服务开放性、分布式的特点,提出了针对组合Web服务的服务劫持攻击方案,包括劫持洪泛攻击、服务假冒攻击和服务重放攻击.详细介绍了这些攻击方式的设计思想,模拟实验结果表明设计的攻击方案对组合Web服务产生了严重影响.论文的研究成果有助于设计针对组合Web服务的攻击检测方法.     

用多模式匹配的方法设计基于网络的IDS

总结了4种高效的多模式匹配算法，并结合基于网络IDS的情况，根据这些算法的特点，对这4种算法的选择提出了一些观点，用二叉树描绘了入侵的攻击模式，对攻击模式的子模式进行分级定义，同时说明了攻击模式的分类，分类在用模式匹配方法设计基于网络的IDS中有着重要的作用。     

用ModSecurity增强Web应用安全

本文着重介绍当前Web应用中常见的几种入侵攻击形式,以及在Apache服务器上实现Web应用入侵检测和防御,从而达到网络级防火墙无法实现Web应用级安全防护,减轻IDS压力,增强Web应用的安全防护能力。     

一种网络自动攻击平台的设计与实现

利用攻击树模型,设计了一个用于评测IDS抗攻击能力的自动综合攻击平台,对其主要子模块,攻击树形成模块和攻击决策模块的设计实现进行了详细阐述,并简要介绍了利用收集到的目标信息对攻击目标进行安全性评估的安全分析模块.     

IDS测试中复合攻击测试数据的生成

从近几年的趋势来看,蠕虫以及DDOS等复合攻击将成为今后网络入侵的主要表现形式.入侵检测系统对复合攻击的检测能力逐渐成为入侵检测系统(IDS)能力测试中的一个重要方面.当前的测试方法主要采用搜集实际的攻击工具来进行攻击测试数据的生成.该方法受实际攻击形式的限制,所生成的数据集无法完成对IDS复合攻击检测能力的完备测试,并且不支持攻击的形式化描述与自动生成,使得测试数据集的生成效率很低.为此提出采用人工构造的完备入侵场景库来生成攻击流量,并在攻击流量中混合入噪声流量增加测试的准确性和公平性.基于这些改进,设计了一种针对滥用入侵检测系统评估的复合攻击测试数据生成系统,并应用在实际的IDS评估系统中.     

针对IP分片攻击的IDS反欺骗技术研究

针对当前入侵检测系统(IDS)在处理IP分片时存在易被欺骗的问题,提出一种应对这类攻击的反欺骗方案.通过在IDS前端加入一个预分析器,对捕获的数据包进行分析,预测信息源端的行为特征,从而有效识别IDS欺骗行为.测试表明,采用这种方案能有效检测出针对IDS实施的分片期骗攻击.     

A hybrid intrusion detection system design for computer network security

Intrusions detection systems (IDSs) are systems that try to detect attacks as they occur or after the attacks took place. IDSs collect network traffic information from some point on the network or computer system and then use this information to secure the network. Intrusion detection systems can be misuse-detection or anomaly detection based. Misuse-detection based IDSs can only detect known attacks whereas anomaly detection based IDSs can also detect new attacks by using heuristic methods. In this paper we propose a hybrid IDS by combining the two approaches in one system. The hybrid IDS is obtained by combining packet header anomaly detection (PHAD) and network traffic anomaly detection (NETAD) which are anomaly-based IDSs with the misuse-based IDS Snort which is an open-source project.The hybrid IDS obtained is evaluated using the MIT Lincoln Laboratories network traffic data (IDEVAL) as a testbed. Evaluation compares the number of attacks detected by misuse-based IDS on its own, with the hybrid IDS obtained combining anomaly-based and misuse-based IDSs and shows that the hybrid IDS is a more powerful system.     

Wired and wireless intrusion detection system: Classifications, good characteristics and state-of-the-art

In computer and network security, standard approaches to intrusion detection and response attempt to detect and prevent individual attacks. Intrusion Detection System (IDS) and intrusion prevention systems (IPS) are real-time software for risk assessment by monitoring for suspicious activity at the network and system layer. Software scanner allows network administrator to audit the network for vulnerabilities and thus securing potential holes before attackers take advantage of them.

In this paper we try to define the intruder, types of intruders, detection behaviors, detection approaches and detection techniques. This paper presents a structural approach to the IDS by introducing a classification of IDS. It presents important features, advantages and disadvantages of each detection approach and the corresponding detection techniques. Furthermore, this paper introduces the wireless intrusion protection systems.

The goal of this paper is to place some characteristics of good IDS and examine the positioning of intrusion prevention as part of an overall layered security strategy and a review of evaluation criteria for identifying and selecting IDS and IPS. With this, we hope to introduce a good characteristic in order to improve the capabilities for early detection of distributed attacks in the preliminary phases against infrastructure and take a full spectrum of manual and automatic response actions against the source of attacks.     

入侵检测与防火墙协同应用模型的研究与设计

防火墙与入侵检测系统作为两种网络安全防护技术应用的越来越广泛。本文在简要介绍防火墙与入侵检测的优点与不足的基础上,提出了在网络中同时部署防火墙与入侵检测系统,使它们各自发挥所长来保护内部网络的安全。并通过SHELL脚本将IDS检测到的入侵行为自动生成防火墙的规则,及时的阻断来自外网的入侵行为,使IDS与Firewall能够有效的协同工作,从而提高网络的安全性。     

一种基于数据挖掘技术的入侵检测模型研究

入侵检测系统是一种检测网络入侵行为并能够主动保护自己免受攻击的一种网络安全技术,是网络防火墙的合理补充。文中分析了入侵检测系统的通用模型,介绍了入侵检测系统的分类,给出了传统的网络检测技术,在此基础上,详细讨论了数据挖掘技术及其在入侵检测系统中的应用,提出了一个基于数据挖掘技术的入侵检测模型,该模型采用了数据挖掘中的分类算法和关联规则。经过实际测试,该模型能够使网络入侵检测更加自动化,提高检测效率和准确度。     

针对网络入侵检测系统的攻击及防御

Internet的使用越来越广泛,随之而来的网络安全已成为人们关注的焦点。入侵检测系统作为一种对付攻击的有效手段,已为越来越多的单位所采用。然而一旦攻击者发现目标网络中部署有入侵检测系统IDS,那么IDS往往成为他们首选的攻击目标。该文详细分析了针对网络IDS的几种攻击类型,即过载攻击、崩溃攻击和欺骗攻击,以及如何防御这些攻击,这对于IDS的设计具有一定的借鉴意义。     

Intrusion detection in computer networks by a modular ensemble of one-class classifiers

Since the early days of research on intrusion detection, anomaly-based approaches have been proposed to detect intrusion attempts. Attacks are detected as anomalies when compared to a model of normal (legitimate) events. Anomaly-based approaches typically produce a relatively large number of false alarms compared to signature-based IDS. However, anomaly-based IDS are able to detect never-before-seen attacks. As new types of attacks are generated at an increasing pace and the process of signature generation is slow, it turns out that signature-based IDS can be easily evaded by new attacks. The ability of anomaly-based IDS to detect attacks never observed in the wild has stirred up a renewed interest in anomaly detection. In particular, recent work focused on unsupervised or unlabeled anomaly detection, due to the fact that it is very hard and expensive to obtain a labeled dataset containing only pure normal events.The unlabeled approaches proposed so far for network IDS focused on modeling the normal network traffic considered as a whole. As network traffic related to different protocols or services exhibits different characteristics, this paper proposes an unlabeled Network Anomaly IDS based on a modular Multiple Classifier System (MCS). Each module is designed to model a particular group of similar protocols or network services. The use of a modular MCS allows the designer to choose a different model and decision threshold for different (groups of) network services. This also allows the designer to tune the false alarm rate and detection rate produced by each module to optimize the overall performance of the ensemble. Experimental results on the KDD-Cup 1999 dataset show that the proposed anomaly IDS achieves high attack detection rate and low false alarm rate at the same time.     

基于网络安全知识库的入侵检测模型

在网络安全知识库系统的基础上,提出一个基于网络安全基础知识库系统的入侵检测模型,包括数据过滤、攻击企图分析和态势评估引擎。该模型采用进化型自组织映射发现同源的多目标攻击;采用时间序列分析法获取的关联规则来进行在线的报警事件的关联,以识别时间上分散的复杂攻击;最后对主机级和局域网系统级威胁分别给出相应的评估指标以及对应的量化评估方法。相比现有的IDS,该模型的结构更加完整,可利用的知识更为丰富,能够更容易地发现协同攻击并有效降低误报率。     

分层协作入侵检测系统研究

互联网在给广大互联网用户提供方便的同时也更加方便了黑客在不同地点、不同时刻发起对远程网络或主机的攻击。针对这些分布式攻击模式，该文提出并论述了一个基于Agent的分布式入侵检测系统的框架及其实现。引入这种分层协作IDS的主要目的是为了克服单一的主机入侵检测系统以及网络入侵检测系统的某些缺陷。在分布式网络环境中，不同的系统主体在各自安全域中执行彼此的独立安全策略；同时，这些系统主体通过相互协作构成上一级安全域。系统框架参考目前流行的通用入侵检测框架CIDF构建，通过经过扩展的CISL实现不同组件间的通讯及协作。     

基于神经网入侵检测研究与设计

近年来,网络的攻击变得越来越普遍,也越来越难于防范,传统的技术如防火墙难于满足目前网络安全的需要,一项新的网络安全技术—网络入侵检测技术被提出,它能很好的解决其他技术的不足,但是目前的入侵检测技术在入侵检测的准确性和可靠性上还存在问题。本文首先介绍了入侵检测中的特点,然后对神经网络做了详细的介绍,最后设计了一个基于神经网络的入侵检测系统。     

计算机网络脆弱性浅析

针对Internet日益增多的攻击现状,防火墙、入侵检侧系统等网络安全技术发展日益成熟。但是现实中总有一些攻击能够成功,我们就有必要研究在遭受攻击情况下分析网络的脆弱性技术及及时的恢复技术,最小化对于网络不利影响。本文提出了计算机网络脆弱性的概念。分析脆弱性存在的深层原因,对网络脆弱性提供了初步的了解。