一种深度入侵防御系统的研究和设计

分析了传统的入侵防御系统,在指出其优势和不足的基础上,把检测事件分为3类,结合多传感器数据融合技术和入侵容忍技术,提出一种基于深度防御原则的“检测防御一分析响应”双层防御模型。为解决传统入侵防御系统易于导致新的拒绝服务攻击等问题提出了一种方案,并且在一定程度上提高了系统性能。通过仿真实验验证了该模型检测和防御入侵的可行性。     

基于数据融合的入侵防御模型

首先分析了目前比较热门的入侵防御系统的体系结构,并指出了传统单个入侵防御系统会导致单点故障、拒绝正常服务等一系列问题,同时还存在不能检测分布式协作攻击和未知攻击及性能等问题。为了解决传统IPS上述的缺点,在原有的两类入侵事件的基础上重新划分,把入侵事件分为三类,并结合多传感器数据融合技术和入侵容忍技术提出一种深度入侵防御模型。最后通过仿真实验验证了该模型检测和防御入侵的可行性。     

一种DRDoS协同防御模型研究

针对现有DRD0S防御方法反应滞后和过滤不全面的问题,基于协同防御思想,提出了一种DRDoS协同防御模型——HCF-AST.该方法通过协同式自学习算法,实现设备间DRDoS防御知识的共享,过滤来自外网的攻击流量;并引入入侵追踪技术,与入侵检测和过滤技术协同,定位并阻断内网攻击源.仿真结果表明,该模型能够及时发现并有效消除来自内外网的DRDoS攻击.     

基于免疫DND的IPS触发机制研究*

基于免疫DND理论,研究网络入侵防御系统的触发机制及其构建问题,提出从受害方受到的危险进行攻击的可进化分级检测与分级触发响应防御的方法。该方法为解决攻击检测中的度量问题提供了一个新的思路,且便于建立轻量级的、自适应的、分布的入侵防御系统。     

入侵防御系统研究

入侵防御系统(IPS)是能够检测到任何攻击行为,包括已知和未知攻击,并能够有效地阻断攻击的硬件或者软件系统.讨论了入侵防御系统的概念和特征,分析了当前IPS的4种实现模型(在线模型、7层交换模型、7层防火墙模型和混合模型)的优缺点.为解决这些模型在同时提高网络性能和入侵检测准确度方面的难题,给出了一个基于WindForce千兆网络数据控制卡的嵌入式入侵防御系统的实现实例.     

基于Linux的网络入侵防御系统的研究和设计

基于特征的入侵防御系统是目前的入侵防御技术的主流。分析研究Snort入侵检测系统和Netfilter防火墙的工作原理,对如何保障自身安全以及联动的方式进行探讨,利用插件技术、多线程技术设计编写相关协同模块,提出一种基于Snort和Netfilter的分布式入侵防御系统;针对Netfilter防火墙规则集的顺序敏感性的工作特点,对其规则的编写进行具体优化,提高系统工作效率。经过测试证明,该系统灵活高效,能够利用入侵检测系统的检测能力,动态地为防火墙定制过滤规则,阻断攻击源,从而达到入侵防御的目的。     

基于Agent的防火墙与入侵检测协同防御系统

针对网络攻击技术呈现分布式协同攻击的特点,提出了入侵检测和防火墙相互协同的防御系统框架,它由上层的安全策略控制中心和下层的多个防御单元构成一种层次化集中管理结构.为了使防御系统中各安全系统之间协同,建立了基于Agent的通信机制.在此基础上对防御系统的安全策略控制中心和防御单元进行详细设计,实现安全策略的制定,分发,更新和重配置,使得各安全系统能够协作互动,最大程度上保证系统的安全.     

网络入侵防御系统的研究

随着因特网应用的迅速升级,网络安全问题日益严峻。传统的防火墙、入侵检测系统在一定程度上构建了安全防御体系,但由于其自身的不足以及对网络攻击缺乏主动响应功能,并随着网络入侵行为的增加和网络攻击水平的不断提高,尤其是混合攻击技术的发展,单一的防护措施已经不能挡住各种攻击,企事业单位更加需要对网络进行防护,于是引入一种全新的防御技术——入侵防御系统(IPS)已成为必须。     

基于软件定义网络的云平台入侵防御方案设计与实现

针对传统的入侵防御系统是串联在网络环境中,处理能力有限且易造成网络拥塞的问题,面向云计算应用,设计了一种基于软件定义网络（SDN）的入侵防御方案。首先,在OpenStack平台中集成了SDN控制器。然后,利用控制器的可编程特性,设计了入侵检测和控制器的联动机制,实现了入侵防御功能。联动机制实现原理是在入侵检测系统检测到入侵时把入侵信息传给控制器,控制器下发安全策略到虚拟交换机,达到过滤入侵流量、动态阻止入侵行为的目的。最后,通过实验将所提方案与传统入侵防御方案相比较,对比分析结果表明,相比传统方案能成功检测85%入侵（攻击速率为12000 packet/s）,所提方案的入侵检测效率在90%以上（攻击效率为40000 packet/s）,可以用于提高云环境下入侵防御的检测效率。     

基于行为的入侵防御系统研究

文章介绍了目前比较热门的入侵防御系统的概念和工作原理,将开源入侵检测软件Snort和Linux防火墙Netfilter有机结合在一起,提出一种基于行为的入侵防御系统模型,以木马攻击为例,给出系统的具体解决方案及关键技术。     

一种基于IPv6的入侵防御系统的分析与研究

入侵防御技术是为了弥补传统的防火墙和入侵检测的不足而发展起来的一种新兴技术。伴随着IPv4向IPv6的过渡,网络攻击事件的特征也将会有新的特点,这必然要求原来基于IPv4环境下的入侵防御技术做出相应改变。该文首先对IPv6协议及安全性进行分析,然后设计并实现了一个IPv6及其过渡环境下的入侵防御系统(IPS)。     

Honeynet原型系统的研究与设计

随着互联网的扩展和基于互联网的发展,网络入侵的检测和防范越来越受到人们的重视。如何从主动防御的角度去解决网络安全问题,将黑客的入侵行为引入一个可以控制的范围,消耗其时间,了解其使用的方法和技术,对攻击者的行为模式、攻击手段进行分析和挖掘,成了目前网络安全研究的焦点。本文引入了入侵行为重定向的概念,并提出了Honeynet的原型系统。     

一个新的SYN Flood攻击防御模型的研究

针对现有的SYN Flood攻击防御方法的不足,本文提出了一个基于TCP连接三次握手的新的防御模型。当系统检测到SYN Flood攻击后,立即把那些占用系统资源的带有典型攻击特征的第一次握手请求永久抛弃,以保证新的正常请求能够被接受;而把其他带有疑似攻击特征的第一次握手请求暂时抛弃,尔后启动自适应学习模块来修正现有的入侵模式,最后再启动SYN Flood攻击检测模块来进一步精确判定。在此基础上设计实现了一套新的SYN Flood攻击防御系统。实验测试结果表明,本入侵防御系统能有效地帮助整个系统提高对抗SYN Flood攻击的能力。     

Minimum-cost network hardening using attack graphs

In defending one’s network against cyber attack, certain vulnerabilities may seem acceptable risks when considered in isolation. But an intruder can often infiltrate a seemingly well-guarded network through a multi-step intrusion, in which each step prepares for the next. Attack graphs can reveal the threat by enumerating possible sequences of exploits that can be followed to compromise given critical resources. However, attack graphs do not directly provide a solution to remove the threat. Finding a solution by hand is error-prone and tedious, particularly for larger and less secure networks whose attack graphs are overly complicated. In this paper, we propose a solution to automate the task of hardening a network against multi-step intrusions. Unlike existing approaches whose solutions require removing exploits, our solution is comprised of initially satisfied conditions only. Our solution is thus more enforceable, because the initial conditions can be independently disabled, whereas exploits are usually consequences of other exploits and hence cannot be disabled without removing the causes. More specifically, we first represent given critical resources as a logic proposition of initial conditions. We then simplify the proposition to make hardening options explicit. Among the options we finally choose solutions with the minimum cost. The key improvements over the preliminary version of this paper include a formal framework of the minimum network hardening problem, and an improved one-pass algorithm in deriving the logic proposition while avoiding logic loops.     

主动入侵防御系统研究

针对目前日益严重的网络安全问题，提出了一套更加有效、更加完善的主动入侵防御解决方案，该方案有机结合了多种安全技术，以主机／服务器上的关键资源为中心实施纵深防御。不管攻击者采用什么样的攻击方法，总是能够主动识别攻击者的企图，对于不合适的访问或操作予以拒绝。本防御系统对驻留在主机和服务器上的数据等关键资源能起到非常有效的保护作用，可广泛应用于政府、公安、金融、电信、IT等各个行业和领域。     

基于场景和PN机的入侵检测研究

攻击者通过从一个攻击序列衍生出大量变种攻击序列来逃避基于规则及其它误用检测技术的检测.基于此,针对可序列化的入侵,从攻击机理入手,提取攻击的关键操作序列,构造入侵行为表达式,再对攻击序列进行拓扑排序和同构变换,以扩展形成一个入侵场景或一类入侵.进而提出了面向场景和检测一类入侵行为的方法,通过构建基于场景和检测一类入侵行为的PN(Petri Net)机来实现检测已知攻击及其未知变种攻击的目标.未知变种攻击也是一些新的攻击形态,因而从这种意义上说,该方法能检测到新的攻击行为.     

Multi—SoftMan入侵防御系统模型的智能弹性架构

"软件人"(SoftMan,SM)是在Agent(代理)、智能机器人、人工生命等技术基础上提出的一个新概念,它为解决当前网络入侵检测中存在的诸多问题提供了新的思路.本文在深入研究入侵检测与防护技术的基础上,受"软件人"技术的启示,提出了基于群体"软件人"(Multi-SoftMan,MSM)入侵防御系统的智能协商控制模型及相应的算法.模型采取无控制中心的群体"软件人"结构,充分利用"软件人"本身的独立性、自主性、自学习、自适性、遗传和变异等特性,尽量降低各检测部件间的相关性,避免了单个中心分析器带来的单点失效问题.每个数据采集部件、检测部件和分析部件都是独立的单元,不仅实现了数据采集的分布化,而且将入侵检测和实时响应分布化,提高了系统的健壮性,真正实现了分布式检测的思想,这有助于解决目前入侵检测系统普遍存在的智能化程度不高、系统不易维护、检测效率低下等问题.     

Wired and wireless intrusion detection system: Classifications, good characteristics and state-of-the-art

In computer and network security, standard approaches to intrusion detection and response attempt to detect and prevent individual attacks. Intrusion Detection System (IDS) and intrusion prevention systems (IPS) are real-time software for risk assessment by monitoring for suspicious activity at the network and system layer. Software scanner allows network administrator to audit the network for vulnerabilities and thus securing potential holes before attackers take advantage of them.

In this paper we try to define the intruder, types of intruders, detection behaviors, detection approaches and detection techniques. This paper presents a structural approach to the IDS by introducing a classification of IDS. It presents important features, advantages and disadvantages of each detection approach and the corresponding detection techniques. Furthermore, this paper introduces the wireless intrusion protection systems.

The goal of this paper is to place some characteristics of good IDS and examine the positioning of intrusion prevention as part of an overall layered security strategy and a review of evaluation criteria for identifying and selecting IDS and IPS. With this, we hope to introduce a good characteristic in order to improve the capabilities for early detection of distributed attacks in the preliminary phases against infrastructure and take a full spectrum of manual and automatic response actions against the source of attacks.     

基于Snort的校园网ARP欺骗检测应用研究

首先分析了Snort网络入侵检测系统,然后剖析了ARP协议工作原理及ARP欺骗攻击的过程.根据校园网的网络结构特点,在网关上安装Snort,通过修改Snort配置文件,添加输出ARR头部信息的Snort输出插件,实现对校园网ARP欺骗的检测预防.