基于数据流的启发式文件传输识别系统设计

为了防止文件通过网络泄露,研究了网络传输文件的格式、传送形式以及通信行为特征,提出一种基于网络数据流的文件传输识别方法。通过引入文件数据流的概念,构建了具有特异性的文件特征指纹库,采用自适应深度协议分析技术,对文件传输在通信协议中表现出的内容和行为特征信息进行多层次启发式的检测。测试结果表明,该系统运行高效,检测结果准确。     

基于运动轨迹分析的启发式木马检测系统

针对主动防御技术检测准确率不高的问题,提出了一种基于运动轨迹分析的启发式木马检测系统。提出了两种典型的木马运动轨迹,利用运动轨迹上的行为数据,结合判定规则与算法,实现对可疑文件危险等级的检测。实验结果表明,该系统检测未知木马性能优于传统方法,并且能够检测一些特殊木马。     

基于差异对比法的文件可疑通信行为检测

针对恶意程序对计算机用户造成的危害以及其数量上的快速增长,提出了一种基于文件网络通信行为数据的检测系统。重点介绍了基于差异对比法的可疑通信行为检测模型,给出了系统各模块协同工作流程图以及系统中关键技术的实现代码。测试结果表明,该系统具备通信检测、通信进程检测和域名信息检测功能。     

基于网络通信指纹的启发式木马识别系统

对比传统木马检测技术的原理及特点,根据网络数据流检测木马的需求,提出一种基于网络通信特征分析的木马识别方法。引入通信指纹的概念扩展通信特征的外延,用实验方法归纳木马在连接、控制和文件传输阶段表现出的通信指纹信息,设计并实现一个启发式木马网络通信指纹识别系统。测试结果表明,该系统运行高效、检测结果准确。     

特洛伊木马穿透个人防火墙技术综述

本文首先介绍了特洛伊木马的概念,然后着重介绍了在Windows操作系统环境下特洛伊木马如何利用网络协议躲避防火墙和系统工具的检查,成功地实现了木马的通信隐藏。     

虚拟内存进程重构与恶意行为扩展识别模型

为了解决现有虚拟机的恶意行为分析技术检测点单一、抗干扰能力弱、检测结果可信度不高等问题,提出了一种基于虚拟内存进程重构和进程关系识别的虚拟检测技术.通过分析VMware虚拟内存特点,重构进程生命周期中的启动、隐藏、可疑操作、网络通信等序列化行为,并形式化描述为名称关系、父子关系、时间关系、文件关系、通信关系、用户关系六元组.进一步地,将六元组扩展为证据链并提出一种基于改进k-means算法的恶意行为识别模型,通过计算不同进程六元组之间的相似度,结合先验知识,使用恶意进程集初始聚类中心,进而辨识出虚拟内存中的恶意进程及其关联性和依赖关系.测试结果表明:1 000个样本中恶意进程的检出率高达91.98%,相比传统内存取证技术该方法重构出的虚拟内存进程信息更加充分,恶意行为判定结果的准确性、可靠性更高.     

基于物联网集成防御机制的诱饵路径优化算法

针对物联网设备很容易被攻击者利用来入侵网络的问题,设计实现了一种将基于网络拓扑改组的移动目标防御(network topology shuffling-based moving target defense,NTS-MTD)和网络欺骗相结合的物联网集成防御机制,并基于该防御机制设计了一种诱饵路径优化算法(decoy path-based optimization algorithm,DPOA)来进行网络拓扑改组优化.在软件定义网络(software defined network,SDN)的支持下主动改变真实节点和诱饵节点的网络拓扑,实现物联网环境中的网络拓扑改组.通过一个带有安全度量的图形安全模型(graphical security model,GSM)研究防御机制有效性,并使用三个指标对DPOA的安全性和性能进行衡量.仿真结果表明,基于DPOA的方案防御成本显著降低且安全性高,更适应于物联网.     

基于动静特征加权的木马检测系统

传统木马检测方法的漏报率较高。为此,结合木马的动态特征与静态特征,设计并实现一个基于动静特征加权的木马检测系统。研究木马工作机制,建立自定义的木马特征库,介绍木马检测思路和系统工作逻辑,分析木马特征的提取过程,并给出权值分配方法。实验结果表明,该系统的检测准确率较高。     

一种针对RPL入侵检测的自适应节能算法

RPL（IPv6 routing protocol for low power and lossy networks）是IPv6低功耗有损无线网络的路由层协议,缺乏健全的安全保护机制且运行于资源受限的物联网设备导致容易受到网络攻击,因此在进行安全检测时应尽可能减少消耗设备资源。针对上述问题,分析了RPL网络的拓扑结构、RPL的入侵检测技术和常见网络攻击的原理,论证并提出了能够降低设备功率和网络负载的自适应节能算法,最后基于Contiki 3.0和Cooja实现并验证了该算法的有效性。实验结果表明,该算法能够根据网络拓扑挑选出有效的检测节点,在保证检测率的情况下降低约12%的设备平均功率。