PTIR:一个用于检测恶意主机攻击的记录协议

移动代理作为一种分布计算和移动计算的支撑技术，得到广泛研究。但由于移动代理的迁移执行，引起一全新安全问题：如何保护遭主机攻击的移动代理？即恶意主机问题，从检测恶意主机攻击的角度出发，人们提出了基于参考状态（reference states)的方法，但目前所提出方法的开销都比较大。认为只需记录移动代理在各主机运行时的输入和运行后的结果即可，基于此，提出新的检测恶意主机攻击的协议PTIR(a protocol tracing inputs and results to detect malicious host‘s attacks)，比较分析表明，新协议的检测开销有较大降低。     

移动代理面临的主机攻击及其安全

恶意主机对移动代理的攻击隐患是移动代理安全机制的关键问题。本文综合了众多研究者的研究成果,基于网络信息安全服务机制,对恶意主机的攻击行为进行了分类,列出了其相应的安全措施,且对常见的一些安全策略例如可信任的执行环境,数字签名及加密体制、信息隐藏技术、多代理协作等进行了解析。     

基于权限提升的网络攻击图生成方法

研究已有攻击图生成方法,提出基于权限提升的攻击图关联算法,实现一种有效的网络攻击图自动生成工具。该工具利用数据库对网络攻击进行建模,包括主机描述、网络连接、利用规则3个属性,自动将网络配置和主机信息写入数据库,根据广度优先前向和后向搜索相结合的关联算法生成攻击事件图,实现网络安全的整体分析。     

移动代理系统中恶意主机攻击模型的研究

作为一种新的分布式计算模式,移动代理技术具有广泛的应用前景。但在目前的移动代理系统中,恶意主机问题,即保护代理免受恶意主机的攻击是很棘手的问题。为了更好地理解该问题,我们提出了基于抽象机器模型的攻击模型（RASPS）。该模型有助于提出有效的移动代理保护方案,并可以作为评价各种保护方案的基础。本论文首先分析了恶意主机的攻击行为,并在此基础上提出了恶意主机的攻击模型,最后分析了攻击实例程序。     

基于全局行为特征的未知恶意文档检测

相比于基于宏的恶意办公文档,基于漏洞利用的恶意办公文档在攻击过程中往往不需要目标交互,能在目标无感的情况下完成攻击,已经成为APT攻击的重要手段,因此检测基于漏洞利用特别是未知漏洞利用的恶意文档对于发现APT攻击具有重要作用。当前的恶意文档检测方法主要围绕PDF文档展开,分为静态检测和动态检测两类,静态检测方法容易被攻击者规避,且无法发现基于远程载荷触发的漏洞利用,动态检测方法仅考虑PDF中JavaScript脚本或文档阅读器进程的行为特征,忽视了针对系统其他进程程序的间接攻击,存在检测盲区。针对上述问题,本文分析了恶意办公文档的攻击面,提出恶意文档威胁模型,并进一步实现一种基于全局行为特征的未知恶意文档检测方法,在文档处理过程中提取全系统行为特征,仅训练良性文档样本形成行为特征库用于恶意文档检测,并引入敏感行为特征用于降低检测误报率。本文在包含DOCX、RTF、DOC三种类型共计522个良性文档上进行训练获取行为特征库,然后在2088个良性文档样本和211个恶意文档样本上进行了测试,其中10个恶意样本为手动构造用于模拟几种典型的攻击场景。实验结果表明该方法在极低误报率(0.14%)的情况下能够检测出所有的恶意样本,具备检测利用未知漏洞的恶意文档的能力,进一步实验表明该方法也能够用于检测针对WPS Office软件进行漏洞利用的恶意文档。     

基于网络行为的攻击同源分析方法研究

网络攻击威胁日益严峻,攻击溯源是增强防御能力、扭转攻防局势的重要工作,攻击的同源分析是溯源的重要环节,成为研究热点。根据线索类型的不同,攻击同源分析可以分为基于恶意样本的同源分析和基于网络行为的同源分析。目前基于恶意样本的同源分析已经取得了较为显著的研究成果,但存在一定的局限性,不能覆盖所有的攻击溯源需求,且由于恶意代码的广泛复用情况,使得分析结果不一定可靠;相比之下,基于网络行为的同源分析还鲜有出色的成果,成为溯源工作的薄弱之处。为解决现存问题,本文提出了一种基于网络行为的攻击同源分析方法,旨在通过抽取并分析攻击者或攻击组织独特的行为模式而实现更准确的攻击同源。为保留攻击在不同阶段的不同行为特征,将每条攻击活动划分为5个攻击阶段,然后对来自各IP的攻击行为进行了4个类别共14个特征的提取,形成行为特征矩阵,计算两两IP特征矩阵之间的相似性并将其作为权值构建IP行为网络图,借助社区发现算法进行攻击社区的划分,进而实现攻击组织的同源分析。方法在包含114,845条告警的真实的数据集上进行了实验,凭借实际的攻击组织标签进行结果评估,达到96%的准确率,证明了方法在攻击同源分析方面的有效性。最后提出了未来可能的研究方向。     

基于网络和主机的入侵检测技术比较

基于网络或基于主机是入侵检测系统（IDS）识别并化解网络攻击的两个基本策略.这两种策略都各有其优势和劣势。本文讨论了基于主机和基于网络入侵检测技术的不同之处，以及两种策略的结合方式。     

基于大数据的网络恶意攻击信息识别技术研究

传统网络恶意攻击信息识别技术的检测率较低,为此提出基于大数据的网络恶意攻击信息识别技术,研究根据源节点的特征,建立网络恶意攻击机制,通过网络恶意攻击黑名单中统计的恶意范畴,对网络恶意攻击进行信息识别。由此,完成基于大数据的网络恶意攻击信息识别技术的研究。实验中,对比两种信息识别技术的检测率。实验结果表明,基于大数据的网络恶意攻击信息识别技术的检测率更高。     

无线传感器网络中基于MDP的攻击模型研究

随着无线传感器网络的发展,其安全已成为重要研究方向。在现有无线传感器网络安全研究中,普遍存在两个相关联的问题：临时防御问题和最优解问题。本文首先阐述了上述两个问题产生的原因以及其对抵御攻击算法的影响;然后分析了基于马尔科夫决策过程（Markov Decision Processes,MDP）对无线传感器网络攻击建模的优势;接着使用协作频谱感知攻击和EWSZOT抵御算法为例,详细地介绍了如何通过MDP对攻击进行建模并基于上述两个问题对抵御算法进行攻击;最后通过仿真实验验证了基于MDP攻击模型生成的攻击策略相比较于其他攻击策略能够最大程度地影响EWSZOT算法的抵御效果。基于该模型的攻击成功率高达70%。     

移动Agent防范恶意主机攻击的安全措施

移动Agent技术是分布式人工智能与Internet相结合的产物，具有很好的应用前景，但是移动Agent系统的安全性是一个不容忽视的问题， 而在移动Agent系统所涉及到的安全问题中，尤以保护移动Agent不受恶意主机攻击最为复杂和重要。该文总结了到目前为止的各种保护措施,并比较了各自的优点及局限性。     

面向智能攻击的行为预测研究

人工智能的迅速发展和广泛应用促进了数字技术的整体跃升,然而基于人工智能技术的智能攻击也逐渐成为一种新型的攻击手段,传统的攻击防护方式已经不能满足安全防护的实际需求.通过预测攻击行为的未来步骤,提前部署针对性的防御措施,可以在智能攻击的对抗中取得先机和优势,有效保护系统安全.首先界定了智能攻击和行为预测的问题域,对相关研究领域进行了概述;然后梳理了面向智能攻击的行为预测的研究方法,对相关工作进行分类和详细介绍;之后分别阐述了不同种类的预测方法的原理机制,并从特征及适应范围等角度对各个种类的方法做进一步对比和分析;最后展望了智能攻击行为预测的挑战和未来研究方向.     

基于启发式奖赏塑形方法的智能化攻击路径发现

渗透测试作为一种评估网络系统安全性能的重要手段, 是以攻击者的角度模拟真实的网络攻击, 找出网络系统中的脆弱点。而自动化渗透测试则是利用各种智能化方法实现渗透测试过程的自动化, 从而大幅降低渗透测试的成本。攻击路径发现作为自动化渗透测试中的关键技术, 如何快速有效地在网络系统中实现智能化攻击路径发现, 一直受到学术界的广泛关注。现有的自动化渗透测试方法主要基于强化学习框架实现智能化攻击路径发现, 但还存在奖赏稀疏、学习效率低等问题, 导致算法收敛速度慢, 攻击路径发现难以满足渗透测试的高时效性需求。为此, 提出一种基于势能的启发式奖赏塑形函数的分层强化学习算法(HRL-HRSF), 该算法首先利用渗透测试的特性, 根据网络攻击的先验知识提出了一种基于深度横向渗透的启发式方法, 并利用该启发式方法设计出基于势能的启发式奖赏塑形函数, 以此为智能体前期探索提供正向反馈, 有效缓解了奖赏稀疏的问题;然后将该塑形函数与分层强化学习算法相结合, 不仅能够有效减少环境状态空间与动作空间大小, 还能大幅度提高智能体在攻击路径发现过程中的奖赏反馈, 加快智能体的学习效率。实验结果表明, HRL-HRSF 相较于没有奖赏塑形的分层强化学习算法、DQN 及其改进算法更加快速有效, 并且随着网络规模和主机漏洞数目的增大, HRL-HRSF 均能保持更好地学习效率, 拥有良好的鲁棒性和泛化性。     

面向APT家族分析的攻击路径预测方法研究

近年来,针对政府机构、工业设施、大型公司网络的攻击事件层出不穷,网络空间安全已成为事关国家稳定、社会安定和经济繁荣的全局性问题。高级持续威胁(Advanced Persistent Threat, APT)逐渐演化为各种社会工程学攻击与零日漏洞利用的综合体,已成为最严重的网络空间安全威胁之一,当前针对APT的研究侧重于寻找可靠的攻击特征并提高检测准确率,由于复杂且庞大的数据很容易将APT特征隐藏,使得获取可靠数据的工作难度大大增加,如何尽早发现APT攻击并对APT家族溯源分析是研究者关注的热点问题。基于此,本文提出一种APT攻击路径还原及预测方法。首先,参考软件基因思想,设计APT恶意软件基因模型和基因相似度检测算法构建恶意行为基因库,通过恶意行为基因库对样本进行基因检测,从中提取出可靠的恶意特征解决可靠数据获取问题;其次,为解决APT攻击路径还原和预测问题,采用隐马尔可夫模型(HMM)对APT恶意行为链进行攻击路径还原及预测,利用恶意行为基因库生成的特征构建恶意行为链并估计模型参数,进而还原和预测APT攻击路径,预测准确率可达90%以上;最后,通过HMM和基因检测两种方法对恶意软件进...     

一种无监督的窃密攻击及时发现方法

近年来,窃密攻击成为了最严重的网络安全威胁之一.除了恶意软件,人也可以成为窃密攻击的实施主体,尤其是组织或企业的内部人员.由人实施的窃密很少留下明显的异常痕迹,给真实场景中攻击的及时发现和窃密操作的分析还原带来了挑战.提出了一个方法,将每个用户视为独立的主体,通过对比用户当前行为事件与其历史正常行为的偏差检测异常,以会话为单元的检测实现了攻击发现的及时性,采用无监督算法避免了对大量带标签数据的依赖,更能适用于真实场景.对算法检测为异常的会话,进一步提出事件链构建方法,一方面还原具体窃密操作,另一方面通过与窃密攻击模式对比,更精确地判断攻击.在卡内基梅隆大学的CERT内部威胁数据集上进行了实验,结果达到99%以上的准确率,且可以做到无漏报、低误报,证明了方法的有效性和优越性.     

基于隐马尔可夫模型的加密恶意流量检测

近年来,随着网络加密技术的普及,使用网络加密技术的恶意攻击事件也在逐年增长,依赖于数据包内容的传统检测方法如今已经无法有效地应对隐藏在加密流量中的恶意软件攻击.为了能够应对不同协议下的加密恶意流量检测,提出了基于ProfileHMM的加密恶意流量检测算法.该方法利用生物信息学上的基因序列比对分析,通过匹配关键基因子序列,实现识别加密攻击流量的能力.通过使用开源数据集在不同条件下进行实验,结果表明了算法的有效性.此外,设计了两种规避检测的方法,通过实验验证了算法具有较好的抗规避检测的能力.与已有研究相比,该工作具有应用场景广泛以及检测准确率较高的特点,为基于加密流量的恶意软件检测研究领域提供了一种较为有效的解决方案.     

基于最小攻击树的UEFI恶意行为检测模型

指出了UEFI中源代码、自身扩展模块及来自网络的安全隐患,分析了传统的BIOS与已有的UEFI恶意代码检测方法的不足,定义了结合UEFI平台特点的攻击树与威胁度,构建了动态扩展的威胁模型库与恶意行为特征库相结合的攻击树模型,设计了针对UEFI恶意行为检测的加权最小攻击树算法。实验证明了模型的有效性与可扩展性。     

恶意USB设备原理及防护措施研究

在网络与信息安全领域中,计算机USB接口安全一直以来都面临着严峻的风险挑战,也是用户最容易忽略的问题,而恶意USB设备是计算机USB接口安全的主要威胁之一,它严重威胁着企业的信息安全与公民隐私信息安全。针对当前USB安全问题现状进行了分析,介绍了常见的恶意USB设备Keylogger与BadUSB的危害、攻击特性,对Keylogger,BadUSB硬件电路原理,硬件程序实现,攻击方法进行了详细剖析。通过AVR微控芯片构建出Keylogger,BadUSB设备,然后用其设备对计算机进行攻击实验,最终实现对目标主机的监听与控制,并研究拦截Keylogger记录监听与抵御BadUSB攻击的安全防护措施,为用户提供有效的安全保护解决方案。这些防护措施与解决方案能有效地保护公共信息安全与个人信息安全,能遏制USB接口层面信息安全事件的发生。     

基于宿主权限的移动广告漏洞攻击技术

移动广告作为市场营销的一种重要手段,越来越受到应用开发者的青睐,其市场规模也日趋增大.但是,为了追求广告的精准投放和其他非法利益,移动广告给用户的隐私与财产安全也带来了很大威胁.目前,众多学者关注广告平台、广告主和移动应用的安全风险,还没有出现在广告网络中直接发起攻击的案例.本文提出一种基于宿主权限的移动广告漏洞攻击方法,能够在移动应用获取广告内容时在流量中植入攻击代码.通过对广告流量的拦截,提取出宿主应用的标识和客户端相关信息,间接得到宿主应用的权限列表和当前设备的WebView漏洞.另外,本文提出一种攻击者的能力描述语言,能够自动生成定制化的攻击载荷.实验表明,本文所提出的攻击方法能够影响到大量含有移动广告的应用,几个攻击实例的分析也证明了自动生成攻击载荷的可行性.最后,本文提出了几种防护方法和安全增强措施,包括应用标识混淆、完整性校验和中间人攻击防护技术等.     

移动代码加密理论研究

“如何保护移动代码不受结点主机的篡改”是移动智能体及主动网安全机制的研究难点，传统采用防篡改硬件保护法而对基于密码学的纯软件保护法研究很少．介绍了该类方法的研究现状并着重阐述了移动代码加密理论的产生背景、盲计算理论基础、与传统加密理论差异及该理论目前所存在的问题，提出了面向对象的加密理论概念，指出其未来的研究方向及潜在的应用领域．