一种基于攻击图的高级持续威胁检测方法北大核心CSCD

针对传统入侵检测工具无法检测高级持续威胁(Advanced Persistent Threat,APT)攻击和威胁警报疲劳问题,文章提出一种基于攻击图的APT检测方法 ADBAG(APT Detection Based on Attack Graph),该方法根据网络拓扑、漏洞报告等信息生成攻击图,并利用攻击图对攻击者行为进行预先分析,有效解决了威胁警报疲劳问题。文章结合ATT&CK(Adversarial Tactics,Techniques and Common Knowledge)模型和APT攻击三相检测模型,设计了一种缺失路径匹配评分算法,从攻击全局角度分析和检测APT攻击。同时,设计了基于灰名单的多攻击实体关联方法,以保证生成的APT攻击证据链的准确性。在公开数据集上进行实验,实验结果表明,ADBAG可以有效检测APT攻击,并能够检测基于零日漏洞的APT攻击,进一步定位攻击影响范围。     

基于攻击意图分析的模糊入侵关联方法

本文提出了一种基于攻击意图分析与因果关联的模糊入侵关联方法。该方法利用基于规则的模糊认知图RBFCM把入侵警报与安全策略相联系,结合系统脆弱性与配置信息,不仅能识别复合攻击的各个阶段、构建出完整的攻击视图,还能对每一阶段的攻击后果进行评判,同时利用OWA算子改进了RBFCM的推理性能。     

基于入侵意图的复合攻击检测和预测算法

复合攻击是网络入侵的主要形式之一.如何检测复合攻击是当前入侵检测研究的一个重要方向.这项研究对入侵检测的作用主要表现在以下几个方面:(1)减少误报和漏报;(2)实现对未知攻击的检测;(3)攻击预测.尤其是第3点,可能使被动的检测发展为主动的有针对性的防御.经过对复合攻击模式的大量研究,提出了一种基于入侵意图的复合攻击检测和预测算法.该算法采用扩展的有向图来表示攻击类别及其逻辑关系,按照后向匹配和缺项匹配的方式对报警进行关联,根据已关联攻击链的累计权值和攻击逻辑图中各分支的权值计算其可能性.该算法可以实现复合攻击的检测,在一定程度上预测即将发生的攻击,并且对未知攻击有一定的检测能力,还可以大幅度地减少误报和一定的漏报.最后介绍了相应的实验过程和结果分析,证明了算法的有效性.     

基于网络漏洞的复合攻击预测方法研究

入侵检测系统可以检测到攻击,但不能预测攻击者下一步的攻击。本文分析了基于攻击为预测方法的不足,提出了一种基于网络弱点的攻击预测方法。该方法使用报警关联方法建立报警关联图,然后利用网络弱点和攻击的关系预测攻击者的下一步攻击。最后,通过实验验证了该方法的有效性。     

基于攻击图的网络风险计算方法

为了及时发现网络中潜在的攻击威胁、计算网络的潜在风险,提出了一种基于攻击图的网络风险计算方法。通过关联网络中的漏洞建立攻击图、发现潜在的攻击序列和威胁,从而计算网络潜在的风险值。此方法考虑了攻击路径权重和资产权重对网络风险的影响,使计算结果更符合实际情况。实验结果表明,提出的风险计算方法能够准确和有效地计算网络的潜在风险。     

基于优化Apriori算法的入侵检测系统模型设计

复合攻击是网络入侵的主要形式之一。如何检测复合攻击是当前入侵检测研究的一个重要方向,经过对复合攻击模式的大量研究,提出了一种基于自动调节的警报关联模型。为了提高入侵检测系统的效率,针对入侵检测系统的特点,将数据挖掘技术引入模型中。阐述了使用为关联规则提取所优化的Apriori算法,对日志文件进行特征分析与知识发掘的入侵检测系统模型的设计。     

基于攻击效用的复合攻击预测方法

复合攻击已经成为网络攻击的主要形式之一,入侵检测系统仅能检测到攻击,但不能预测攻击者下一步的攻击。分析了传统攻击预测方法的不足,提出了一种基于攻击效用的复合攻击预测方法,以攻击者追求利益最大化的原则,为每种攻击分配一个攻击效用,在此基础上进行攻击预测,识别攻击者的最终意图和预测其下一步将要进行的攻击。通过实验验证了该方法的有效性。     

基于安全扫描信息降低入侵检测系统的误报率

通常入侵检测系统在一旦发现有入侵迹象时便发出警报,但许多入侵攻击最终是不能成功的或者说并不能给系统或网络造成危害,所以相应的警报属于无效警报,而正是大量无效警报的存在使得入侵检测系统有着较高的误报率。在本文中,针对网络型误用入侵检测系统建立了一种新的警报过滤机制,此机制通过安全扫描系统建立起一个本网络的漏洞数据库,由于一种网络攻击一般都是针对一个或多个程序漏洞的,当入侵检测系统发现可疑入侵时,找出攻击成功时所需存在的漏洞,并依据漏洞数据库加以实时确认此漏洞是否存在,若不存在,则只是记入日志而不发出警报,从而过滤无效警报的产生。实验结果证明,本文提出的警报过滤机制可以有效的降低误报率。     

融合社交网络威胁的攻击图生成方法

针对现有攻击图生成和分析方法多数未考虑社交网络威胁的问题,提出一种基于知识图谱融合社交网络威胁的攻击图生成方法。根据攻击图的构建需求和收集的内网环境数据,设计融合社交网络威胁的网络安全本体模型和知识图谱,以实现对社交网络和物理网络数据的关联分析以及对攻击图输入信息的扩展,基于知识图谱采用广度优先搜索算法生成融合社交网络威胁的攻击图,并给出内部社交网络威胁的攻击成功率计算方法。基于真实网络拓扑和脆弱性信息的实验结果表明,与现有攻击图的相关方法相比,该方法可有效发现网络中潜在的借助社交网络入侵的攻击路径。     

基于攻击意图的复合攻击预测方法研究

入侵检测系统仅能检测到攻击,但不能预测攻击者下一步的攻击.分析了基于攻击行为预测方法的不足,提出了一种基于攻击意图的复合攻击预测方法.该方法使用抽象的攻击意图表示复合攻击,采用扩展的有向图表达攻击意图间的逻辑关系,建立了攻击匹配的攻击意图框架,在复合攻击预测算法中引入了攻击检测度和攻击匹配度两个概念.最后,通过实验验证了该方法的有效性.     

一种基于多因素的告警关联方法

入侵检测系统作为保护网络安全的重要工具已被广泛使用,其通常产生大量冗余度高、误报率高的告警。告警关联分析通过对底层告警进行综合分析与处理,揭示出其中包含的多步攻击行为。许多告警关联方法通过在历史告警中挖掘频繁模式来构建攻击场景,方法容易受冗余告警、误报影响,挖掘出的多步攻击链在某些情况下不能反映出真实的多步攻击行为。为此,提出一种基于多因素的多步攻击关联方法。通过聚合原始告警以得到超级告警,降低冗余告警带来的影响;将超级告警构造成超级告警时间关系图,同时结合超级告警间的多因素关联度评价函数从时间关系图中挖掘出多步攻击场景。实验结果表明,该方法能克服冗余告警及大部分误报带来的负面影响、有效地挖掘出多步攻击链。     

基于改进蚁群算法的防护策略选择模型

网络攻击的多步性增加了预测攻击路径的难度,难以对攻击提供有效的安全防护,而传统的解决方案需要花费较高的成本来修复大量的网络漏洞。针对上述问题,对网络攻击的防护问题展开研究,提出一种基于改进蚁群算法的防护策略选择模型（Hardening Measures Selection Mode based on an Improved Ant?Colony?Optimization,HMSMIACO）。该模型由三部分组成：在现有攻击图的基础上,运用能够描述多步原子攻击间因果关系的贝叶斯信念网络构建用于评估网络安全风险的概率攻击图;结合防护成本与收益的量化指标,提出一种能够模拟攻击者决策过程的路径预测算法;鉴于防护策略选择问题是一个NP-hard问题,选择适用于中等规模网络环境的一种改进蚁群算法求解该问题,并获得该网络环境下近似最优的防护策略集。最后,通过实验说明了HMSMIACO在降低网络安全风险问题上的可行性与有效性。     

IDS alerts correlation using grammar-based approach

Intrusion Detection System (IDS) is a security technology that attempts to identify intrusions. Defending against multi-step intrusions which prepare for each other is a challenging task. In this paper, we propose a novel approach to alert post-processing and correlation, the Alerts Parser. Different from most other alert correlation methods, our approach treats the alerts as tokens and uses modified version of the LR parser to generate parse trees representing the scenarii in the alerts. An Attribute Context-Free Grammar (ACF-grammar) is used for representing the multi-step attacks. Attack scenarii information and prerequisites/consequences knowledge are included together in the ACF-grammar enhancing the correlation results. The modified LR parser depends on these ACF-grammars to generate parse trees. The experiments were performed on two different sets of network traffic traces, using different open-source and commercial IDS sensors. The discovered scenarii are represented by Correlation Graphs (CGs). The experimental results show that Alerts Parser can work in parallel, effectively correlate related alerts with low false correlation rate, uncover the attack strategies, and generate concise CGs.     

攻击图的两种形式化分析

攻击图是一种基于模型的网络脆弱性分析技术,可以自动分析目标网络内脆弱性之间的关系和由此产生的潜在威胁.攻击图主要有状态攻击图和属性攻击图两类.前者由于存在状态爆炸问题不适应于大规模网络,目前主要的研究大多是基于后者.基于属性攻击图研究了含圈攻击路径问题和最优弥补集问题.针对含圈攻击路径问题,定义了反映真实攻击想定的n-有效攻击路径,提出了一种计算关键属性集所有n-有效攻击路径的迭代算法;针对最优弥补集问题,在定义了所有的风险源为属性攻击图的初始属性的基础上,将该问题转化为带权重的集合覆盖问题,从而归结为NP完全性问题,提出了可应用于大规模攻击图的具有多项式时间复杂度的近似算法.     

分布式深度学习隐私与安全攻击研究进展与挑战

不同于集中式深度学习模式,分布式深度学习摆脱了模型训练过程中数据必须中心化的限制,实现了数据的本地操作,允许各方参与者在不交换数据的情况下进行协作,显著降低了用户隐私泄露风险,从技术层面可以打破数据孤岛,显著提升深度学习的效果,能够广泛应用于智慧医疗、智慧金融、智慧零售和智慧交通等领域.但生成对抗式网络攻击、成员推理攻击和后门攻击等典型攻击揭露了分布式深度学习依然存在严重隐私漏洞和安全威胁.首先对比分析了联合学习、联邦学习和分割学习3种主流的分布式深度学习模式特征及其存在的核心问题.其次,从隐私攻击角度,全面阐述了分布式深度学习所面临的各类隐私攻击,并归纳和分析了现有隐私攻击防御手段.同时,从安全攻击角度,深入剖析了数据投毒攻击、对抗样本攻击和后门攻击3种安全攻击方法的攻击过程和内在安全威胁,并从敌手能力、防御原理和防御效果等方面对现有安全攻击防御技术进行了度量.最后,从隐私与安全攻击角度,对分布式深度学习未来的研究方向进行了讨论和展望.     

A wireless multi-step attack pattern recognition method for WLAN

Intrusion detection and prevention technology has been broadly applied to wired networks as an important means to protect network security. However, few work in this area has been extended to the WLAN. In this paper, we propose a wireless multi-step attack pattern recognition method (WMAPRM) based on correlation analysis with the main attributes of the IEEE 802.11 frame. The method consists of six steps: clustering wireless intrusion alerts, constructing a global attack database, building candidate attack chains, filtering candidate attack chains, correlating multi-step attack behaviors and recognizing multi-step attack patterns. Experimental results in real world environment show that WMAPRM is capable of identifying highly correlated multi-step attack patterns such as WEP crack with ARP + Deauthentication Flood, WEP crack with wesside-ng, config file stealing attack and authentication session hijack attack etc. The method is expected to improve both wireless intrusion detection and prevention performance in practical WLAN security scenarios.     

基于系统漏洞的攻击场景构建

在分析基于攻击前提和后果关联方法的基础上，提出了一种基于系统漏洞和报警相关度的攻击场景构建方法。它不仅能够利用系统漏洞信息验证报警的可靠性，排除误报，而且能够通过报警之间的相关度关联多跳攻击过程。实验结果表明，此方法能够有效地减少误报和漏报，从而有助于构建更加真实完整的攻击场景。     

基于动态攻击图的网络安全实时评估

针对网络安全评估对实时性及可视化的需求,提出了一种基于动态攻击图的实时评佑方法。首先通过采集网络的脆弱性、网络拓扑、资产价值等安全属性信息,同时提取入侵检测系统的报警信息、防火墙策略、安全管理等动态攻防对抗信息,生成动态攻击图,并实时调整防御手段对网络进行及时、有效的保护,实时地对网络系统的安全状态进行评估,并采用可视化的方法展现评估结果,在此基础上给出整体安全策略调整建议。最后通过实验证明了本方法的可行性和有效性。     

基于攻击图的网络安全评估方法研究*

为了提高网络的整体安全性,提出了基于攻击图的网络安全评估方法。首先,在攻击图的基础上提出了脆弱点依赖图的定义;其次,将影响评估的因素分为脆弱性自身特点、网络环境因素和脆弱性关联关系三部分;最后,按照网络拓扑的规模,采用自下向上、先局部后整体的思想,直观地给出了漏洞、主机和整个网络系统三个层次的脆弱性指数评估值。通过大量反复的实验测试,该方法可以对网络系统存在的脆弱性进行定期的、全面的量化评估,及时发现并弥补网络系统中存在的安全隐患,有效地提升网络系统的生存能力,从而提高网络系统应对各种突发攻击事件的能力,具有重大的理论价值、经济效益和社会意义。     

车牌识别系统的黑盒对抗攻击

深度神经网络(Deep neural network, DNN)作为最常用的深度学习方法之一, 广泛应用于各个领域. 然而, DNN容易受到对抗攻击的威胁, 因此通过对抗攻击来检测应用系统中DNN的漏洞至关重要. 针对车牌识别系统进行漏洞检测, 在完全未知模型内部结构信息的前提下展开黑盒攻击, 发现商用车牌识别系统存在安全漏洞. 提出基于精英策略的非支配排序遗传算法(NSGA-II)的车牌识别黑盒攻击方法, 仅获得输出类标及对应置信度, 即可产生对环境变化较为鲁棒的对抗样本, 而且该算法将扰动控制为纯黑色块, 可用淤泥块代替, 具有较强的迷惑性. 为验证本方法在真实场景的攻击可复现性, 分别在实验室和真实环境中对车牌识别系统展开攻击, 并且将对抗样本用于开源的商业软件中进行测试, 验证了攻击的迁移性.