基于代数方法的概率报文标注算法研究

网络攻击的追踪是对网络攻击做出正确响应的重要前提,采用代数方法,利用IP报文中的选项字段,以概率将流经路由器的地址标注报文,使得受攻击主机端能够利用被标注报文内的地址信息重构攻击路径,从而追踪到攻击源点.重点讨论了如何运用代数方法记录报文流经路由器的地址,以及利用报文中记录的信息重构路径使ISP部署相关策略对这些范围的主机加以防范.可以预见,网络攻击的追踪和路径重构技术仍将是目前网络安全一个重要的研究热点,而且随着IPv6的应用,攻击源追踪问题将取得实质性突破.同时指出了该方法存在的问题,并进行了进一步展望.     

基于虚假响应的主机指纹隐藏方法

针对智慧城市关键基础设施面临日益严峻的网络攻击形势,传统被动式网络安全防护模式存在易被探测、攻易守难等问题,提出一种主机指纹隐藏的主动欺骗防御方法.通过分析对操作系统、服务软件两种类型的主机指纹探测攻击的过程,以及攻击工具指纹库的含义,设计指纹伪装流程,进行虚假响应,使攻击者获得错误的响应信息,达到主动防御的目的.试验...     

基于地址分布特征的IP扫描攻击识别技术

IP扫描攻击是一种向某网络区域发送探测报文寻找目标主机的方式。这种方式通常被用于蠕虫病毒传播之前的发现可感染主机。这种攻击方式流量小,并且与正常业务非常类似,因此不易觉察和检出。该方案监控目标主机单位时间内新建流的目的 IP地址的分布特征来识别是否发生了IP扫描攻击。通过将IP地址分为a.b.c.d四个域,分析目标IP地址在这四个域上分别呈现集中分布还是分散,来判断新建流的目标主机是否短时间内集中在某个区域。通过这种方式,将攻击行为与正常业务流进行快速区分。实验结果表明该方法快速有效地辨别攻击主机。     

基于攻击图的主机安全评估方法

针对目前主机安全评估方法中无法准确计算主机安全值,忽略攻击图中主机关联性等问题,提出一种基于攻击图的主机安全评估方法.首先,生成主机攻击图,从漏洞自身、时间、环境和操作系统可利用性4个角度量化原子攻击概率并计算主机攻击概率.然后,根据专家先验评估和相关性定权法计算主机资产重要性,依据攻击图中主机间的关联关系计算主机的拓...     

电信网络面临的安全形势分析

分析了电信网络新出现的安全问题,NTP（网络时间协议）新型攻击的特点是攻击流量庞大,用户比较容易忽视,蠕虫和木马危害影响范围较广,手机病毒和木马频繁出现.提出了应对措施.     

僵尸网络研究

僵尸网络是一种从传统恶意代码形态进化而来的新型攻击方式,为攻击者提供了隐匿、灵活且高效的一对多命令与控制机制,可以控制大量僵尸主机实现信息窃取、分布式拒绝服务攻击和垃圾邮件发送等攻击,僵尸网络对因特网安全已造成严重威胁。深入研究分析了僵尸网络的三种模型,并对僵尸网络的发现、追踪进行了探讨。     

2021年7月黑龙江省公共互联网安全监测报告

2021年7月,全省互联网基础设施运行总体平稳,骨干网各项监测指标正常.木马僵尸网络、蠕虫病毒、web攻击等是全省重要信息系统和互联网用户面临的最主要的网络安全威胁.本月全省感染木马、僵尸程序主机总数有所下降,被利用作为控制端主机数量较上月有所下降,感染蠕虫病毒主机数量较上月有所下降,受web攻击主机数量较上月有所下降.本月全省感染木马或僵尸网络病毒的主机IP数量为16019个; 被利用作为木马或僵尸网络控制端服务器的IP数量为3685个;感染蠕虫病毒的主机IP数量为274个;遭受web攻击的主机IP数量为2794个; 全省被利用作为web攻击的IP数量为5743个.     

超大异常流量攻击的防御思路探讨

提出了应对超大异常流量攻击的防御思路,该思路中将防御策略分为短期策略和长期策略。短期措施主要在现有异常流量防护措施的基础上,进一步提升对超大异常流量攻击的防护能力;而长期策略试图从虚假源地址过滤、开放服务的协议方面进行改进。随着可利用的DNS、NTP等公共服务器资源将逐步减少,攻击者将转为挖掘新的可用于流量反射放大的应用协议。由于以"反射、放大流量"为特性的超大异常流量攻击仍将保持发展,对它的安全防御仍有待在实践中检验和不断完善。     

大规模DDoS攻击背景下电信运营商建设安全防护体系路径的探讨

DDoS(Distributed Denial of Service,分布式拒绝服务)攻击是一种通过很多"僵尸主机"(即被入侵或可间接利用的主机)向受害主机发送大量网络数据包,造成网络阻塞或服务器资源耗尽,进而导致受害主机拒绝服务的攻击,且无法通过给服务器打补丁或安装防火墙的方式对其进行防护,因此难以防范、危害较大.D...     

运营商级SD-WAN组网NTP时钟同步方案

摘 要：SD-WAN 发展势头迅猛，电信运营商与互联网企业都在不断扩大布局。作为形态多样化的技术， SD-WAN 中并未对时钟同步做出明确规范。分析了时钟同步对 SD-WAN 技术实现和业务运行的重要性。简述了在SD-WAN被广泛采用的互联网公共NTP服务时钟同步方案的利弊，由此展开讨论在不同场景可实现的自建NTP服务时钟同步方案，并设计了基于自建NTP服务利用管理隧道加密传输NTP同步数据的时钟同步方法，使SD-WAN平台和设备在时间同步时获得更高的安全性与稳定性。     

SIFT-Symmetry: A robust detection method for copy-move forgery with reflection attack

Copy-move forgery (CMF) is a popular image manipulation technique that is simple and effective in creating forged illustrations. The bulk of CMF detection methods concentrate on common geometrical transformation attacks (e.g., rotation and scale) and post-processing attacks (e.g., Joint Photographic Experts Group (JPEG) compression and Gaussian noise addition). However, geometrical transformation that involves reflection attacks has not yet been highlighted in the literature. As the threats of reflection attack are inevitable, there is an urgent need to study CMF detection methods that are robust against this type of attack. In this study, we investigated common geometrical transformation attacks and reflection-based attacks. Also, we suggested a robust CMF detection method, called SIFT-Symmetry, that innovatively combines the Scale Invariant Feature Transform (SIFT)-based CMF detection method with symmetry-based matching. We evaluated the SIFT-Symmetry with three established methods that are based on SIFT, multi-scale analysis, and patch matching using two new datasets that cover simple transformation and reflection-based attacks. The results show that the F-score of the SIFT-Symmetry method surpassed the average 80% value for all geometrical transformation cases, including simple transformation and reflection-based attacks, except for the reflection with rotation case which had an average F-score of 65.3%. The results therefore show that the SIFT-Symmetry method gives better performance compared to the other existing methods.     

DNS攻击检测与安全防护研究综述

随着传统互联网逐渐向“互联网+”演变,域名系统（domain namesystem,DNS）从基础的地址解析向全面感知、可靠传输等新模式不断扩展。新场景下的DNS由于功能的多样性和覆盖领域的广泛性,一旦受到攻击会造成严重的后果,因此DNS攻击检测与安全防护方面的研究持续进行并越来越受到重视。首先介绍了几种常见的DNS攻击,包括DNS欺骗攻击、DNS隐蔽信道攻击、DNS DDoS(distributed denial of service)攻击、DNS反射放大攻击、恶意DGA域名;然后,从机器学习的角度出发对这些攻击的检测技术进行了系统性的分析和总结;接着,从DNS去中心化、DNS加密认证、DNS解析限制3个方面详细介绍了DNS的安全防护技术;最后,对未来的研究方向进行了展望。     

基于NTP协议的数字钟设计

针对大型公共场所需放置多台同步时钟的问题,提出了基于网络时间协议（NTP协议）的数字钟设计方案,利用嵌入式网络模块实现网络接口、美信的实时时钟芯片实现时钟的信息存储和更新、奥地利微电子的8通道恒流发光二极管（LED）驱动芯片实现时间显示。该基于NTP协议的数字钟定期向NTP服务器发送请求包,利用服务器的响应包的时间戳可以计算出本地客户机时间,修正客户机时间,使其时间与时间服务器的时间保持一致。该数字钟由于采用NTP网络协议,时间同步于NTP服务器,走时准确,安装方便。     

一种基于区间时序逻辑模型检测的入侵检测算法

Model checking based on linear temporal logic reduces the false negative rate of misuse detection. However, linear temporal logic formulae cannot be used to describe concurrent attacks and piecewise attacks. So there is still a high rate of false negatives in detecting these complex attack patterns. To solve this problem, we use interval temporal logic formulae to describe concurrent attacks and piecewise attacks. On this basis, we formalize a novel algorithm for intrusion detection based on model checking interval temporal logic. Compared with the method based on model checking linear temporal logic, the new algorithm can find unknown succinct attacks. The simulation results show that the new method can effectively reduce the false negative rate of concurrent attacks and piecewise attacks.     

分布式DNS反射DDoS攻击检测及控制技术

分布式DNS反射DDoS攻击已经成为拒绝服务攻击的主要形式之一,传统的基于网络流量统计分析和网络流量控制技术已经不能满足防护需求。提出了基于生存时间值（TTL）智能研判的DNS反射攻击检测技术,能够准确发现伪造源IP地址分组;基于多系统融合的伪造源地址溯源阻断技术,从源头上阻断攻击流量流入网络。     

无线局域网MAC层DoS攻击检测

当前对无线局域网入侵检测的研究多处于理论阶段,尚缺少检测基础平台和实验支持。文章针对基础结构模式的无线局域网,设计了一种MAC层DoS攻击的检测方法,通过实验捕捉和分析MAC层相关控制帧和管理帧,以及判断门限值,检测出MAC层存在的几种主要DoS攻击。     

基于多维度分析的APT邮件攻击检测

电子邮件是APT (Advanced Persistent Threat)攻击中常用的攻击载体,本文针对APT邮件攻击提出了一种基于多维度分析的APT邮件攻击检测方法。首先,提取邮件头部和邮件正文信息,邮件附件文件还原;然后,分别通过邮件头部、邮件正文、情报检测、文件内容深度检测、邮件异常行为检测和邮件站点自学习等多维度进行分析;最后基于分析结果将邮件归类为普通邮件和可疑APT攻击特征的邮件。本文提出的方法既结合传统的邮件威胁攻击特征,并融入情报检测和附件深度检测,且考虑邮件异常行为分析,最后结合客户业务进行自学习分析,有效地提高了APT邮件攻击的检测准确率,为APT邮件攻击检测提供一种良好的检测方案。     

基于链路特征的DDoS攻击检测方法

提出了一种基于链路特征的DDoS攻击检测方法,利用极大似然估计技术推出网络内部链路特征分布,应用自组织映射神经网络进行链路特征活动轮廓学习和异常链路检测。实验结果表明,该方法有效,具有一定的发展潜力,对于DDoS攻击的检测和预防具有重要现实意义。     

基于AOP和动态污点分析的SQL注入行为检测方法

Web应用程序时刻面临着来自网络空间中诸如SQL注入等代码注入式攻击的安全威胁.大多数针对SQL注入攻击的检测方法执行效率较低,检测精度也不够高,特别是实现方法不易被重用.根据注入型脆弱性特征提出了一种基于AOP（Aspect-Oriented Programming）和动态污点分析的SQL注入行为检测方法,并通过方面（aspect）模块化单元对污点分析过程进行了封装,使得安全这类典型的程序横切关注点从基层子系统中分离,提高了检测代码的可重用性.在污点汇聚点结合通知（advice）机制动态加载各类检测组件实现在运行时执行检测代码,从而应对SQL注入这类典型的针对Web应用程序的代码注入攻击方式.实验表明,该方法能够在不修改应用程序执行引擎及源码的前提下实现自保护过程,有效防御重言式（tautologies）、逻辑错误查询（logically incorrect queries）、联合查询（union query）、堆叠查询（piggy-backed queries）、存储过程（stored procedures）、推理查询（inference query）、编码转换（alternate encodings）等7种典型的SQL注入攻击类型.     

An intrusion detection system based on combining probability predictions of a tree of classifiers

Intrusion detection system (IDS) represents an unavoidable tool to secure our network. It is considered as a second defense line against the different form of attacks. The principal limits of the current IDSs are their inability to combine the detection of the new form of attacks with high detection rate and low false alarm rate. In this paper, we propose an intrusion detection system based on the combination of the probability predictions of a tree of classifiers. Specifically, our model is composed of 2 layers. The first one is a tree of classifiers. The second layer is a classifier that combines the probability predictions of the tree. The built tree contains 4 levels where each node of this tree represents a classifier. The first node classifies the connections in 2 clusters: Denial of Service attacks and Cluster 2. Then, the second node classifies the connections of the Cluster 2 in Probing attacks and Cluster 3. The third node classifies the connections of the Cluster 3 in Remote‐to‐Local attacks and Cluster 4. Finally, the last node classifies the connections of the Cluster 4 in User‐to‐Root attacks and Normal connections. The second layer contains the last classifier that combines the probability predictions of the first layer and take the final decision. The experiments on KDD'99 and NSL‐KDD show that our model gives a low false alarm rate and the highest detection rate. Furthermore, our model is more precise than the recent intrusion detection system models with accuracy equal to 96.27% for KDD'99 and 89.75% for NSL‐KDD.