Polymorphic蠕虫特征自动提取算法及检测技术研究

入侵检测系统检测蠕虫攻击的关键在于蠕虫特征是否准确,随着蠕虫Polymorphic技术的不断发展,如何快速有效地提取Polymorphic蠕虫特征,是入侵检测中特征提取领域的一个重要的研究方向。采用基于模式的特征提取算法,通过对多个可疑Polymorphic蠕虫流量进行序列比对,自动提取它们的最长公共子序列,结果用两种形式的向量表示;并采用相似度度量的检测方法,利用已提取的特征向量,判别新到来的Polymorphic蠕虫流量所属的类别,从误报率和漏报率方面验证了特征提取算法的有效性以及相似度度量检测方法的有效性。     

增强型Anti-Xprobe2的研究与设计

Anti-Xprobe2通过对数据报进行伪装,来防御Xprobe2操作系统指纹探测。针对其原有的事件分离模块采用建立静态数据集的方法来实现探测数据的分离,造成较高的误报率的问题,提出增强型Anti-Xprobe2方法,增加动态事件分离模块,根据探测数据包的时序特征对其进行处理,并使用有限状态机(FSM)对该模块进行了描述。经对比实验验证了增强型Anti-Xprobe2的有效性并减少了系统开销。     

基于改进细菌觅食的协作学习分组算法

针对协作学习中基于学习者特征的分组方式对学习过程的影响,设计一种基于改进细菌觅食的协作学习分组算法。在实现协作学习分组过程中,引入分组调节因子和特征权值,满足不同教学活动对学习者多个特征及分组的要求。为构成有效的分组空间,在细菌种群初始化中,细菌群体以实数编码,并加入随机扰动以增加细菌种群的多样性;在算法后期加入二次变异操作,以避免细菌觅食算法可能出现的早熟收敛现象。仿真实验结果表明,该算法在不同分组形式下,与传统算法相比,具有较优的分组性能和较高的准确率,并且对于不同数据集规模具有良好的稳定性。     

基于CFG多态蠕虫特征自动提取模型

通过对多个可疑Polymorphic蠕虫流量提取共有子结构,并充分考虑多态蠕虫在结构和指令序列等方面变异的特点,结合指令的类别特征和序列特征提取多态蠕虫特征,建立了基于CFG的自动提取模型,实验结果验证了该模型的有效性.     

多态shellcode动态检测与特征提取

提出了多态shellcode动态检测和特征提取模型:基于模拟执行和动态检测技术,可以有效发现多态shellcode变种和未知攻击方式并生成特征码;基于模拟执行网络代码并以GetPC code和循环解密操作作为行为特征检测网络数据流,对相似可疑数据流进行聚类并提取字节序列特征.实验结果验证了该模型的可行性和有效性.     

CSCL在课程设计中的应用研究

从CSCL的理论基础和实现方面讨论了CSCL应用于课程设计的可行性,并以MOODLE为实现平台,讨论了CSCL对课程设计中人员、课程、任务组的管理和对课程设计过程的控制评估。实践证明CSCL应用于课程设计具有良好的效果。     

基于改进Naïve Bayes的垃圾邮件过滤模型研究

分析了目前在垃圾邮件过滤中广泛应用的Naïve Bayes过滤模型（NBF）,指出了期望交叉熵（ECE）特征词选取方法的不足。提出了改进的Naïve Bayes垃圾邮件过滤模型（A-NBF）,用改进的期望交叉熵（AECE）选取垃圾邮件特征词,并在邮件分类过程中对特征词进行加权,从而提高对垃圾邮件过滤的精度。实验结果可以看出A-NBF比NBF在过滤精度方面有明显的提高。     

新的基于最小风险的贝叶斯邮件过滤模型*

分析了目前在垃圾邮件过滤中广泛应用的基于最小风险的朴素贝叶斯模型,提出了一种新的基于直线几何分割的朴素贝叶斯邮件过滤模型LGDNBF,定义了新的风险因子。新的风险因子对决策风险的描述更加精确,同时使得LGDNBF具有一定的可扩展性。实验结果证明,LGDNBF的分类准确率比传统的基于最小风险的朴素贝叶斯模型有明显的改善。     

基于改进Nave Bayes的垃圾邮件过滤模型研究

分析了目前在垃圾邮件过滤中广泛应用的NaveBayes过滤模型(NBF),指出了期望交叉熵(ECE)特征词选取方法的不足。提出了改进的NaveBayes垃圾邮件过滤模型(A-NBF),用改进的期望交叉熵(AECE)选取垃圾邮件特征词,并在邮件分类过程中对特征词进行加权,从而提高对垃圾邮件过滤的精度。实验结果可以看出A-NBF比NBF在过滤精度方面有明显的提高。     

伪主机模型及实现技术

在分析传统蜜罐系统实现技术的基础上,提出一种基于共享宿主机(镜子主机)协议栈且通过协议栈的反射实现数据报接收和发送处理的伪主机模型。在使用伪主机构建的蜜罐系统中,响应针对伪主机请求的诱骗源和伪主机分层管理,降低了蜜罐系统本身被入侵的风险;通过对当前网络中IP资源和主机的端口资源进行全局管理,为网络中已使用的IP地址部署诱骗源。实验结果表明该系统具有较好的诱骗效果。