漏洞类型聚类的层次化漏洞修复模型

针对传统漏洞修复策略存在难以确定同一危害等级漏洞修复优先次序的问题,提出了一种基于漏洞类型聚类的层次化漏洞修复(vulnerability remediation based on vulnerability type clustering,VR-VTC)模型。首先,运用PSO-K-means(particle swarm optimization K-means)算法对漏洞信息进行聚类分析,再根据每种漏洞类型高危、中危、低危各个危害等级的百分比,计算每种漏洞类型的威胁因子;然后,将目标主机漏洞划分为主机、漏洞类型威胁等级、漏洞类型和漏洞4个层次,再采用"自下而上、先局部后整体"的漏洞修复策略,提出一种基于漏洞类型的层次化漏洞修复方法。实验结果表明,VR-VTC模型可为用户提供细粒度的漏洞修复策略。     

一种应用主机访问图的网络漏洞评估模型

针对基于攻击图的风险评估的可扩展性问题,从内部安全威胁的角度,提出一种基于主机访问图的漏洞评估的定量方法.首先引入网络访问关系与主机关键度的概念,并提出主机安全威胁模型,接着通过生成主机访问图得到所有主机之间的网络访问关系,在此基础上计算各个漏洞对整个网络安全威胁产生的影响,从而实现对漏洞的评估与排序.实验表明该方法能够有效地评估网络的安全状态和漏洞在网络中的严重程度,并为加强网络安全提供重要依据.     

基于模糊匹配的补丁文件定位算法研究

补丁文件定位是实现主机漏洞扫描及补丁推送系统的关键。本文在给出主机漏洞扫描及补丁推送系统的组成与补丁数据库设计的基础上,提出了基于模糊匹配的补丁文件定位算法。试用表明该算法可以有效提高补丁文件定位的效率与符合度。     

分布式漏洞检测扫描调度算法

网络漏洞扫描器是一个用来自动检查本地或远程主机的安全漏洞的程序.依据漏洞检测的要求和实现的特点,构造一个分布式扫描任务调度模型,提出相应的扫描任务分配算法.该算法将扫描任务分配到与被检测主机同在一个子网的扫描服务器中执行,或将扫描任务尽可能均衡地分配到各个扫描服务器中,从而提高漏洞检测系统的运行效率.最后,从理论上证明该模型和算法的可行性和优越性.     

基于遗传算法的分布式数据库查询优化研究

在收益半连接研究基础之上,本文提出一种新的查询执行计划代价模型,它包括关系副本选择、查询多连接次序、操作站点的选择、数据的传输及数据局部处理等因素,准确地表示了分布式数据库查询执行代价,并且给出了解决基于此代价模型查询优化问题的遗传算法,实验结果表明,该算法有较好的寻优效果,更具有实际意义.     

一种回归的SIR僵尸网络传播模型研究

僵尸网络对当前互联网产生巨大危害,基于漏洞扫描的蠕虫是僵尸的主要传播方式和载体.针对蠕虫的传播,现有模型大多以SIR模型为基础,假设主机在免疫之后就不会再被感染.由于僵尸中可能存在多个蠕虫,因此使得免疫主机还可能回归到易感染状态.考虑到此因素,本文在SIR模型的基础上,提出一种回归的RSIR僵尸网络传播模型.给出了模型的描述和数学公式,并对模型进行了分析.实际数据仿真结果显示,模型是有效的.     

一种基于动态偏好扫描的网络免疫策略

复杂网络中各种自组织现象的涌现给网络脆弱性挖掘和网络免疫自推进带来了启示.一个完整的免疫资源配置过程可以分为4个阶段:信息收集、扫描、漏洞修复和自我推进.网络主机脆弱性分布的实证分析表明,脆弱主机在网络中呈现明显的幂律分布特性,这就意味着盲目扫描将耗费大量资源在非脆弱或不存在的主机上,而一个有效的网络免疫策略应该利用这种非均匀的网络脆弱性分布特性.静态偏好性的扫描方法在初期能取得良好的推进效果,但并不能将这种有效性贯穿整个免疫过程.为此,提出了一种新的基于扫描方式的网络免疫自推进策略.该策略能够在不知道网络结构的条件下,通过一种动态适应的偏好扫描方法,高效命中脆弱主机实施免疫修复.经过传播模型推导及计算机仿真分析,设计的网络免疫策略能够很好地抑制危害传播,提高网络的安全性.     

基于Delaunay三角划分策略的WSN区域覆盖优化研究

针对无线传感器网络在对初次抛洒节点形成的覆盖漏洞进行二次部署的过程中,传统几何学方法难以运用于概率感知模型的问题,提出一种基于Delaunay三角划分策略的无线传感器网络区域覆盖优化算法——DPSO算法。首先对监测区域内随机抛洒的静态节点和监测区域边缘顶点进行Delaunay三角划分,以得到静态节点三角网,结合无线传感器网络节点的概率感知模型证明三角形内部存在完全未覆盖区域即覆盖漏洞;其次将通过筛选得到的三角形形心集合作为粒子群优化算法的初始解集,利用改进的粒子群优化算法完成对移动节点的二次部署,以达到修复覆盖漏洞的目的。实验表明,所提出的基于Delaunay三角划分策略的优化算法能够有效修复覆盖漏洞,使区域覆盖率得到显著提高。     

基于纳什均衡的D2D通信功率控制博弈算法

为了减轻D2D通信在资源复用模式下的互干扰问题,提升蜂窝网络均衡性能收益,提出一种基于纳什均衡的功率控制博弈算法。算法中将互干扰用户间的功率控制过程描述为静态博弈模型,用户之间根据最小化代价函数的博弈决策,通过多步迭代调节发射功率,使系统收敛至纳什均衡的优化状态。在用户代价函数设计中,综合考虑了能耗及传输速率影响,同时给出了博弈算法纳什均衡存在性以及收敛性的证明。仿真实验表明,在最优响应策略及能耗因子的有效约束下,互干扰用户更理智的选择发射功率,系统拥有较好均衡性收益的同时能耗进一步降低。     

基于移动Agent的代价驱动的云端存储模型

针对当前云存储系统副本策略对商业利益追求的考虑不够充分,构建基于移动agent的代价驱动的云端存储模型,引入商业相关概念并给出定义及计算公式,提出代价驱动的移动agent自适应策略。移动移动agent携带数据及副本以用户良好体验及高"收益"原则进行决策计算及判断在云平台异构节点间移动、复制或销毁,实现商业利益最大化的动态存储。给出移动agent自适应动作的算法实现。实验结果表明,该模型在负载均衡和"收益"方面都优于传统静态副本策略。     

A hybrid ranking approach to estimate vulnerability for dynamic attacks

To enhance security in dynamic networks, it is important to evaluate the vulnerabilities and offer economic and practical patching strategy since vulnerability is the major driving force for attacks. In this paper, a hybrid ranking approach is presented to estimate vulnerabilities under the dynamic scenarios, which is a combination of low-level rating for vulnerability instances and high-level evaluation for the security level of the network system. Moreover, a novel quantitative model, an adapted attack graph, is also proposed to escaping isolated scoring, which takes the dynamic and logic relations among exploits into account, and significantly benefits to vulnerability analysis. To validate applicability and performance of our approach, a hybrid ranking case is implemented as experimental platform. The ranking results show that our approach differentiates the influential levels among vulnerabilities under dynamic attacking scenarios and economically enhances the security of network system.     

漏洞自动发现与修复技术研究

网络安全漏洞风险问题越来越受到人们的重视。介绍网络安全漏洞风险的指标体系和量化评估技术;重点研究漏洞自动发现技术、漏洞自动修复技术的内容;介绍网络漏洞检测、评估及修复的研究方向。     

基于知识图谱的网络安全漏洞智能检测系统设计

网络安全漏洞智能检测需要依赖大量的真实数据来进行分析,冗余数据与异常数据的存在会导致检测准确性下降;为保障网络系统稳定运行,提出基于知识图谱的网络安全漏洞智能检测系统设计研究;从结构、逻辑模型以及运行模式3个方面设计网络安全漏洞检测器,实现网络安全漏洞智能检测系统硬件设计;系统软件设计通过网络爬虫采集安全漏洞数据,去除冗余数据与异常数据,根据属性信息识别安全漏洞实体,获取安全漏洞属性信息关系,以此为基础,定义安全漏洞知识图谱表示形式,设计安全漏洞知识图谱结构,从而实现安全漏洞知识图谱的构建与可视化;以上述网络设计结果为依据构建网络安全漏洞智能检测整体架构,制定网络安全漏洞智能检测具体流程,从而获取最终网络安全漏洞智能检测结果;实验结果表明,在不同实验工况背景条件下,设计系统应用后的网络安全漏洞漏检率最小值为1.23%,网络安全漏洞检测F1值最大值为9.50,网络安全漏洞检测响应时间最小值为1 ms,证实了设计系统的安全漏洞检测性能更佳。     

面向智能汽车的信息安全漏洞评分模型

随着汽车智能化、网联化的发展,汽车中集成了越来越多的电子器件,数量庞大的硬件、固件和软件中隐藏着各种设计缺陷和漏洞,这从根本上导致了智能汽车信息安全问题。大量汽车漏洞的披露,严重影响了汽车安全,制约了智能汽车的广泛应用。漏洞管理是降低漏洞危害、改善汽车安全的有效手段。在漏洞管理流程中,漏洞评估是决定漏洞处置优先级的重要一环。但是,现有的漏洞评分系统不能合理地评估智能汽车安全漏洞。为了解决智能汽车漏洞评估不合理的问题,提出面向智能汽车的信息安全漏洞评分模型。基于通用漏洞评分系统（CVSS）漏洞评分原理,根据智能汽车的特点,优化了CVSS的攻击向量和攻击复杂度,并添加了财产安全、隐私安全、功能安全和生命安全4个指标来刻画漏洞可能对智能汽车造成的影响;结合机器学习的方法,对CVSS评分公式参数进行了调整,以使其更好地刻画智能汽车信息安全漏洞特点,适应调整后的指标权重。通过实例评估和统计系统特征分布发现,模型拥有更好的多样性和更稳定连续的特征分布,表明模型可以更好地对不同漏洞进行评分;并且基于模型评估得到的漏洞评分,应用层次分析法给出整车脆弱性评估,表征整车风险水平。所提模型相比现有模型可以更...     

An OVAL-based active vulnerability assessment system for enterprise computer networks

Many security problems are caused by vulnerabilities hidden in enterprise computer networks. It is very important for system administrators to have knowledge about the security vulnerabilities. However, current vulnerability assessment methods may encounter the issues of high false positive rates, long computational time, and requirement of developing attack codes. Moreover, they are only capable of locating individual vulnerabilities on a single host without considering correlated effect of these vulnerabilities on a host or a section of network with the vulnerabilities possibly distributed among different hosts. To address these issues, an active vulnerability assessment system NetScope with C/S architecture is developed for evaluating computer network security based on open vulnerability assessment language instead of simulating attacks. The vulnerabilities and known attacks with their prerequisites and consequences are modeled based on predicate logic theory and are correlated so as to automatically construct potential attack paths with strong operation power of relational database management system. The testing results from a series of experiments show that this system has the advantages of a low false positive rate, short running periods, and little impact on the performance of audited systems and good scalability. The security vulnerabilities, undetectable if assessed individually in a network, are discovered without the need to simulate attacks. It is shown that the NetScope system is well suited for vulnerability assessment of large-scale computer networks such as campus networks and enterprise networks. Moreover, it can also be easily integrated with other security tools based on relational databases.

VRSS: A new system for rating and scoring vulnerabilities

Vulnerabilities are extremely important for network security. IT management must identify and assess vulnerabilities across many disparate hardware and software platforms to prioritize these vulnerabilities and remediate those that pose the greatest risk. The focus of our research is the comparative analysis of existing vulnerability rating systems, so as to discover their respective advantages and propose a compatible rating framework to unify them. We do the statistic work on vulnerabilities of three famous vulnerability databases (IBM ISS X-Force, Vupen Security and National Vulnerability database) and analyze the distribution of vulnerabilities to expose the differences among different vulnerability rating systems. The statistical results show that the distributions of vulnerabilities are not much consistent with the normal distribution. Taking into account all kinds of existing vulnerability rating systems, we propose VRSS for qualitative rating and quantitative scoring vulnerabilities, which can combine respective advantages of all kinds of vulnerability rating systems. An experimental study of 33,654 vulnerabilities demonstrates that VRSS works well.     

典型Adobe Flash Player漏洞简介与原理分析

随着Flash文件在网络上的应用日益广泛,Adobe Flash Player的安全问题受到人们越来越多的关注,它的每一个漏洞都有引发巨大安全问题的可能性.文章首先从Flash客户端技术和Flash三维可视化分析两个方面对Adobe Flash Player的运行机制进行了介绍,研究了ActionScript语言、Flash渲染模型、事件机制、Flash三维图形显示、Stage3D硬件加速和Stage3D三维建模的特性;接下来描述了SWF文件的格式信息,对SWF文件的文件头和标签结构进行介绍;然后结合CVE网站的统计信息,对Adobe Flash Player漏洞进行分类,将其划分为Flash文件格式漏洞、Flash拒绝服务漏洞、Flash跨站脚本攻击漏洞和Flash欺骗攻击漏洞等4大类;随后对漏洞分析技术进行了详细介绍,建立了针对Adobe Flash Player的漏洞分析技术模型;最后以10个典型的Adobe Flash Player漏洞作为实例,经过信息收集、数据流跟踪和漏洞原理分析等过程,得到了漏洞的产生机理.     

基于攻击图的网络脆弱性量化评估研究

目前,网络脆弱性量化评估面临的主要挑战之一是识别网络中存在的脆弱性和它们之间的相互关系以及由此产生的潜在威胁,本文提出了一种基于属性攻击图的网络脆弱性量化评估方法。首先对属性攻击图和有效攻击路径进行了形式化定义,在此基础上提出了采用"最大可达概率"指标来度量目标网络中关键属性集合的脆弱性,并设计了最大可达概率计算算法,该算法解决了属性攻击图的含圈路径问题;为解决实际评估中原始数据缺失的问题,提出了"可信度"的概念,它能有效反映缺失数据对评估结果的影响。     

基于代码属性图及注意力双向LSTM的漏洞挖掘方法

随着信息安全愈发严峻的趋势,软件漏洞已成为计算机安全的主要威胁之一.如何准确地挖掘程序中存在的漏洞,是信息安全领域的关键问题.然而,现有的静态漏洞挖掘方法在挖掘漏洞特征不明显的漏洞时准确率明显下降.一方面,基于规则的方法通过在目标源程序中匹配专家预先定义的漏洞模式挖掘漏洞,其预定义的漏洞模式较为刻板单一,无法覆盖到细节特征,导致其存在准确率低、误报率高等问题;另一方面,基于学习的方法无法充分地对程序源代码的特征信息进行建模,并且无法有效地捕捉关键特征信息,导致其在面对漏洞特征不明显的漏洞时,无法准确地进行挖掘.针对上述问题,提出了一种基于代码属性图及注意力双向LSTM的源码级漏洞挖掘方法.该方法首先将程序源代码转换为包含语义特征信息的代码属性图,并对其进行切片以剔除与敏感操作无关的冗余信息;其次,使用编码算法将代码属性图编码为特征张量;然后,利用大规模特征数据集训练基于双向LSTM和注意力机制的神经网络;最后,使用训练完毕的神经网络实现对目标程序中的漏洞进行挖掘.实验结果显示,在SARD缓冲区错误数据集、SARD资源管理错误数据集及它们两个C语言程序构成的子集上,该方法的F1分数分别达到了82.8%,77.4%,82.5%和78.0%,与基于规则的静态挖掘工具Flawfinder和RATS以及基于学习的程序分析模型TBCNN相比,有显著的提高.