基于系统调用和数据挖掘的程序行为异常检测

异常检测是目前入侵检测研究的主要方向之一。该文提出一种新的程序行为异常检测方法,主要用于Linux或Unix平台上以系统调用为审计数据的入侵检测系统。该方法利用数据挖掘技术中的序列模式对特权程序的正常行为进行建模,根据系统调用序列的支持度和可信度在训练数据中提取正常模式。在检测阶段,通过序列模式匹配对被监测程序的行为异常程度进行分析,提供两种可选的判决方案。实验结果表明,该方法具有良好的检测性能。     

基于系统调用的异常入侵检测

监视程序行为是近年基于主机的异常入侵检测的研究热点,构建程序行为模型是进行异常检测的关键。该文根据构建程序行为模型时,从系统调用抽取的信息和异常检测中使用的系统调用序列的粒度以及异常检测器记录的信息,分析和比较了基于程序行为的异常检测技术,并对该项研究作了展望。     

基于Linux系统调用的主机入侵检测系统的设计

现代计算机系统在稳定性和安全方面存在许多问题,大部分是由于异常的程序行为所导致,主机入侵检测系统能有效的检测程序异常活动.通过对Linux2.4内核的研究,以内核补丁的形式设计与实现了一个原型系统NUMEN,该系统采用前向序列对方法对系统调用序列进行分析,当检测到进程行为异常时,它将延迟该进程发起的系统调用请求,如果异常的出现是由于安全违规活动而引起的,NUMEN在破坏发生之前阻止攻击活动,确保系统的安全性.     

基于系统调用的神经网络异常检测技术

给出了一种基于程序行为的神经网络异常检测技术,通过使用ELMAN网络,利用了程序执行时的系统调用的周期重复特性,使该系统具有检测新型入侵攻击和具有较低虚警率的特点。     

基于系统调用序列分析入侵检测的层次化模型

系统调用是操作系统和用户程序的接口,任何程序必须通过系统调用才能执行。近年来,网络安全事件频发,基于系统调用序列分析的入侵检测方法成为了网络安全研究的热点技术之一。本文提出了基于枚举序列、隐马尔科夫两种方法建立系统行为的层次化模型,不同于传统意义上的单层次模型。在新墨西哥大学提供的实验数据上,本方法在检测程序异常行为的准确度和响应时间方面都得到了很好的效果,表明该方法更适合基于主机入侵的在线检测方法。     

基于程序合法作用域的入侵检测系统的研究

通过分析应用程序在执行时的系统调用序列,提出了一种新的基于程序合法作用域的入侵检测方法.合法作用域的建立以程序的系统调用信息为依据,并采用了有限状态自动机对其进行建模,每一个合法作用域由一个状态来表示,它包含程序运行时的有效用户标示和有效组标示,然后据此检测系统的异常行为.实验结果表明,该方法可以检测到利用应用程序代码漏洞而发起的攻击,并且有较低的错误警报率.     

一种用于异常检测的系统调用参数及序列分析算法

本文基于异常检测技术及相关理论,提出了一种综合系统调用参数及调用序列的异常检测算法,该算法通过系统调用参数和序列构建具备更多特征信息的正常行为签名,从而提高入侵检测系统的检测效率及检测准度。     

利用KNN算法实现基于系统调用的入侵检测技术

该算法来自一种文本分类算法-KNN算法,文中给出了用该算法实现的入侵检测系统模型.利用该算法实现的基于系统调用的异常入侵检测系统,克服了传统基于系统调用入侵检测方法的缺陷,实验结果体现了该方法的有效性和检测的高效性。     

基于系统调用和齐次Markov链模型的程序行为异常检测

异常检测是目前入侵检测领域研究的热点内容.提出一种新的基于系统调用和Markov链模型的程序行为异常检测方法,该方法利用一阶齐次Markov链对主机系统中特权程序的正常行为进行建模,将Markov链的状态同特权程序运行时所产生的系统调用联系在一起,并引入一个附加状态;Markov链参数的计算中采用了各态历经性假设;在检测阶段,基于状态序列的出现概率对特权程序当前行为的异常程度进行分析,并根据Markov链状态的实际含义和程序行为的特点,提供了两种可选的判决方案.同现有的基于隐Markov模型和基于人工免疫原理的检测方法相比,提出的方法兼顾了计算成本和检测准确度,特别适用于在线检测.该方法已应用于实际入侵检测系统,并表现出良好的检测性能.     

基于系统调用属性的程序行为监控

程序的行为轨迹常采用基于系统调用的程序行为自动机来表示.针对传统的程序行为自动机中控制流和数据流描述的程序行为轨迹准确性较低、获取系统调用上下文时间开销大、无法监控程序运行时相邻系统调用间的程序执行轨迹等问题,提出了基于系统调用属性的程序行为自动机.引入了多个系统调用属性,综合系统调用各属性的偏离程度,对系统调用序列描述的程序行为轨迹进行更准确地监控;提出了基于上下文的系统调用参数策略,检测针对系统调用控制流及数据流的行为轨迹偏离;提出了系统调用时间间距属性,使得通过系统调用及其参数无法监控的相邻系统调用间的程序行为轨迹在一定程度上得到了监控.实验表明基于系统调用属性的程序行为自动机能够更准确地刻画程序行为轨迹,较传统模型有更强的行为偏离检测能力.     

Network intrusion detection based on system calls and data mining

Anomaly intrusion detection is currently an active research topic in the field of network security. This paper proposes a novel method for detecting anomalous program behavior, which is applicable to host-based intrusion detection systems monitoring system call activities. The method employs data mining techniques to model the normal behavior of a privileged program, and extracts normal system call sequences according to their supports and confidences in the training data. At the detection stage, a fixed-length sequence pattern matching algorithm is utilized to perform the comparison of the current behavior and historic normal behavior, which is less computationally expensive than the variable-length pattern matching algorithm proposed by Hofmeyr et al. At the detection stage, the temporal correlation of the audit data is taken into account, and two alternative schemes could be used to distinguish between normalities and intrusions. The method gives attention to both computational efficiency and detection accuracy, and is especially suitable for online detection. It has been applied to practical hosted-based intrusion detection systems, and has achieved high detection performance.     

入侵检测系统中特征匹配的改进

有效的入侵检测是保证系统安全所必不可少的。特征匹配是现有入侵检测系统所使用的基本方法。网络的高速发展,现有的特征匹配方法已成了高速网络环境下入侵检测的瓶颈。文章论述了通过在现有匹配方法的基础上引入协议分析的多层次入侵检测匹配,能减小目标匹配范围,提高系统检测效率。     

仿真环境下入侵检测系统测试

分析传统的入侵检测系统评测方法,提出了一种基于虚拟机技术的入侵检测系统性能评测方法.该方法利用Vmwre软件构建攻击仿真环境,并在模拟实验环境下实现攻击,对IDS的指标进行测试与比较,验证了该方案的可行性.     

基于有穷自动机的网络扫描检测算法研究与实现

网络扫描通常是入侵的前奏，准确的检测网络扫描可以对网络入侵起到重要的预警作用．现有的网络扫描检测机制都过于简单且易于被攻击者逃避．提出了一种基于有穷自动机模型检测网络扫描的入侵预警算法（FSA-based intrusion pre—alert algorithm，SBIPA），用自动机状态迁移图表达扫描报文序列，同时设计了3种不同的机制基于自动机模型对扫描事件进行检测，并讨论了算法实现中的关键技术．实验表明，该算法能在更准确的检测普通扫描的同时，对分布式、多类型混杂扫描等现有技术难以检测的隐蔽扫描也有很好的检测效果。有效弥补了现有同类技术的不足．     

基于人工异常的入侵检测系统的实现

现在商用的入侵检测系统一般都只用了误用检测,而异常检测运用的很少。文中我们提出了用人工异常来检测入侵的思想,并且给出异常行为检测系统的方法模型和实现方法。     

反馈神经网络在入侵检测系统中的应用

对基于网络的入侵检测系统进行了研究,提出了将反馈网络应用于入侵检测系统中,使用一种改进的Jordan神经网络算法,借助于反馈神经网络提取描述攻击模式的特征和进行规则推导,然后用神经网络建立的规则集进行入侵检测,实验证明利用反馈神经网络提高了入侵检测系统的性能。     

基于Snort的IPv6入侵检测系统的研究

本文以著名的开源网络入侵检测系统Snort为基础,通过跟踪国内外网络入侵检测系统的研究动向和Snort的研究热点,在对Snort源代码进行分析的基础上,提出Snort系统在IPv4向IPv6过渡阶段的相应改造方案。通过构造IPv6检测规则,添加IPv6解码模块,IPv6分段重组,IPv6快速检测算法以及对过渡技术的支持,实现了一套同时支持IPv4、IPv6和过渡技术的入侵检测系统。     

高校办公网入侵检测系统研究

随着计算机和网络技术的发展,网络入侵事件的日益增加,人们发现只从防御的角度构造安全系统是不够的,入侵检测成为继“防火墙”、“数据加密”等传统安全保护措施后新一代的网络安全保障技术。本文首先介绍入侵检测原理和分布式入侵检测方面的相关工作,在分析已有分布式入侵检测系统模型的基础上,提出了一个基于代理的校园网入侵检测系统模型框架。该模型采用分布式的体系结构,由一个代理控制中心和若干代理组成,结合了基于网络和基于主机的入侵检测方法。使用代理技术在分布式环境下对入侵进行检测,可以有效地检测各种入侵,并具有很好的可扩充性。