基于NLA的Polymorphic蠕虫特征自动提取算法研究

随着Polymorphic蠕虫变形技术的不断发展,如何快速有效地提取其特征是入侵检测中特征提取领域的一个重要研究方向。采用基于模式的特征提取算法NLA(Normalized Local Alignment),通过对多个可疑Polymorphic蠕虫流量进行序列比对,自动提取高相似度公共子序列,以向量的形式构造蠕虫特征。实验结果表明该算法在误报率和漏报率方面均优于传统算法。     

多态蠕虫特征码自动提取算法

针对多态技术下变形蠕虫的特征与自动提取算法的问题, 提出一种多态蠕虫特征描述方法, 并给出特征码自动提取算法. 这种结合了PADS和Polygraph优点的MS-PADS特征提取方法, 能在强噪声下快速提取高质量的多态蠕虫特征, 具有低误报率、检测精度高和通用性好等特点.     

Polymorphic蠕虫特征自动提取算法及检测技术研究

入侵检测系统检测蠕虫攻击的关键在于蠕虫特征是否准确,随着蠕虫Polymorphic技术的不断发展,如何快速有效地提取Polymorphic蠕虫特征,是入侵检测中特征提取领域的一个重要的研究方向。采用基于模式的特征提取算法,通过对多个可疑Polymorphic蠕虫流量进行序列比对,自动提取它们的最长公共子序列,结果用两种形式的向量表示;并采用相似度度量的检测方法,利用已提取的特征向量,判别新到来的Polymorphic蠕虫流量所属的类别,从误报率和漏报率方面验证了特征提取算法的有效性以及相似度度量检测方法的有效性。     

基于改进蚁群算法的多态蠕虫特征提取

多态蠕虫特征提取是基于特征的入侵检测的难点,快速提取出精确程度更高的多态蠕虫特征对于有效防范蠕虫的快速传播有着重要的作用。针对层次式的多序列匹配(HMSA)算法进行多序列比对的时间效率较低和由迭代方法提取出的特征不够精确等问题,提出了基于改进蚁群算法的多态蠕虫特征提取方法antMSA。该方法首先对蚁群的搜索策略进行了相应的改进,并将改进后的蚁群算法引入到奖励相邻匹配的全局联配(CMENW)算法中,利用蚁群算法快速收敛能力,在全局范围内快速生成较好解,提取出多态蠕虫的特征片段;然后将其转化为标准入侵检测系统(IDS)规则,用于后期防御。实验表明,改进后的蚁群算法能够较好地克服基本蚁群算法的停滞现象,扩大搜索空间,能够有效提高特征提取的效率和质量,降低误报率。     

一种基于特征提取的高效蠕虫自动防御系统

蠕虫的快速传播给因特同安全带来极大的挑战,设计和实现了一种有效的蠕虫检测和防御系统,提出二分聚类等方法改进了前期过滤和检测技术,有效降低后期处理数据量的同时提高了数据纯度,并提出一种基于Bloom Filter的位置相关的特征提取方法,降低资源消耗并产生更准确的特征.实验结果表明该系统能够有效地发现蠕虫活动并提取出准确的特征,实现基于内容特征的自动防御.     

基于彩色编码的多态蠕虫特征自动提取方法

快速而准确地提取蠕虫特征对于有效防御多态蠕虫的传播至关重要,但是目前的特征产生方法在噪音干扰下无法产生正确的蠕虫特征.提出基于彩色编码的特征自动提取算法CCSF(color coding signature finding)来解决有噪音干扰情况下的多态蠕虫特征提取问题.CCSF算法将可疑池中的n条序列分成m组,然后运用彩色编码对每组序列进行特征提取.通过对每组提取出来的特征集合进行过滤筛选,最终产生正确的蠕虫特征.采用多类蠕虫对CCSF算法进行测试,并与其他蠕虫特征提取方法进行比较,结果表明,CCSF算法能够在有噪音干扰的条件下准确地提取出多态蠕虫的特征,该特征不包含碎片,易于应用到IDS(intrusion detection system)中对多态蠕虫进行检测.     

基于漏洞的蠕虫特征自动提取技术研究

提出一种新的基于漏洞的蠕虫特征,其区别于传统的基于语法或语义分析的技术,对蠕虫攻击的漏洞特征进行分析,将该算法应用于检测系统中。通过实验证明,该检测系统能有效地检测出各种多态变形蠕虫。     

一种色彩特征的自动提取算法及其软件实现

色彩特征的提取在图像识别与图像检索中都起着至关重要的作用.以往的特征提取主要是靠人工,或者是通过有监督的学习来实现,这就限制了整个识别或检索过程的自动化.针对BMP图像的特点,巧妙利用图像色彩空间之间的转换,提出了一种基于数据聚类的主色提取算法,并在Visual C 6.0环境下对其进行了软件实现.实验结果表明,该算法实现了图像预处理的基本操作,并通过适当的数据聚类算法,实现了BMP图像色彩特征的自动提取.同时该方法较传统方法的优越性以及软件的实用性,为整个系统的自动化以及下一步的研究奠定了基础.     

基于特征提取的未知蠕虫攻击防御模型设计

本文提出了一种基于特征提取的蠕虫攻击防御模型,该模型能早期检测蠕虫攻击流量,提取未知蠕虫的代码特征片断,动态更新入侵检测系统规则库.本文给出了整体模型及组成功能模块的详细设计.     

基于主动防御模式下蠕虫病毒特征码的提取模型及算法设计

从一般的网络攻击技术出发,分析现有网络安全技术的弱点,采用主动防御的新思想来应对当前反病毒技术远远落后病毒技术发展的局面。重点对基于动态陷阱生成技术的蠕虫病毒特征码的自动提取进行研究,对收集的新型蠕虫病毒特征扩充IDS的特征库,弥补入侵检测系统对未知病毒攻击无法识别问题,完善防御系统。     

一种基于门限签名的可靠蠕虫特征产生系统

蠕虫特征产生系统是一种利用大量的、分布式部署在Internet的监控器共同协作,从而产生和发布有效的蠕虫特征的新型安全系统.该系统产生的蠕虫特征可以配置到防火墙或者路由器中以遏制蠕虫的传播.虽然它是一项比较有效的对抗蠕虫的安全技术,但是其自身存在一些严重的安全问题,特别是当一个或者少数几个系统节点被黑客控制后,它们可能被利用来阻碍系统产生蠕虫特征,篡改系统发布的特征甚至误导系统发布虚假的特征,这些都会严重影响系统产生特征的可靠性.针对现有系统存在的问题,作者提出了一种基于门限签名的可靠蠕虫特征产生系统,它通过数字签名技术保证系统产生的蠕虫特征是可验证的,同时,为了避免单点失效和提供高可靠性,作者利用一种改进的双层门限签名机制来产生签名.可靠性分析表明,新系统能够抵抗攻击者对部分系统节点的各种形式的攻击,在可靠性上优于现有的主流蠕虫特征产生系统.     

基于多序列联配的攻击特征自动提取技术研究

误用入侵检测系统的检测能力在很大程度上取决于攻击特征的数量和质量．该文提出一种基于多序列联配的攻击特征自动提取方法：首先将可疑的网络数据流转化为序列加入到可疑数据池中;通过聚类将这些序列分为若干类别;最后利用该文提出的多序列联配算法对同一类中的序列进行联配,并以产生的结果代表一类攻击的特征．该方法的核心是该文提出的两种序列联配算法：奖励相邻匹配的全局联配算法CMENW（Contiguous—Matches Encouraging Needleman—Wunsch）和层次式多序列联配算法HMSA（Hierarchical Multi—Sequence Alignment）．CMENW算法克服了Needleman—Wunsch算法易产生碎片的问题,使得连续的特征片段能够尽量地予以保留;HMSA算法以层次式策略对多序列进行联配,支持通配符,并带有剪枝功能．该方法可以自动地提取包括变形病毒和缓冲区溢出在内的新攻击的特征,其主要优点是：（1）产生的攻击特征包含位置相关信息,因而相对传统的方法结果更加准确;（2）具有良好的抗噪能力．     

基于AOI方法的未知蠕虫特征自动发现算法研究

近年来频繁爆发的大规模网络蠕虫对Internet的整体安全构成了巨大的威胁,新的变种仍在不断出现。由于无法事先得到未知蠕虫的特征,传统的基于特征的入侵检测机制已经失效。目前蠕虫监测的一般做法是在侦测到网络异常后由人工捕获并进行特征的分析,再将特征加入高速检测引擎进行监测。本文提出了一种新的基于面向属性归纳（AOI）方法的未知蠕虫特征自动提取方法。该算法在可疑蠕虫源定位的基础上进行频繁特征的自动提取,能够在爆发的早期检测到蠕虫的特征,进而通过控制台特征关联监测未知蠕虫的发展趋势。实验证明该方法是可行而且有效的。     

基于蜜罐的网络病毒特征研究模型

HSWS(基于蜜罐的网络病毒特征研究模型)利用蜜罐技术的优势,收集网络病毒在蜜罐上的活动信息;根据蜜罐响应的信息和网络截获的攻击数据包,用攻击树方法重构病毒攻击过程;并根据目标对攻击信息进行分类,用LCS算法在同类攻击数据中生成网络病毒的特征。对收集的新型网络病毒特征扩充IDS的特征库,弥补入侵检测系统对未知病毒攻击无法识别问题,完善防御系统。     

基于蠕虫攻击模型和语义分析的特征码自动提取

传统手工提取蠕虫的特征串需要很长时间,而基于串模式分析自动提取的虚警率和漏警率始终不太理想.该文提出了一种基于蠕虫攻击模型的语义分析特征提取法.该方法基于蠕虫攻击模型先验知识,自动识别蠕虫代码各个功能部分,将蠕虫攻击的必用部分作为蠕虫的特征串,提出了蠕虫攻击的通用模型OSJUMP.基于该模型,证明了基于语义提取蠕虫特征的有效性,给出了一种基于语义的蠕虫特征自动提取算法.对Red Code等各种实际蠕虫进行测试,结果显示自动提取生成的蠕虫特征值和安全厂商手工分析提供的特征值具有很大的可比性.     

面向蠕虫自动特征产生系统的设计与实现

计算机以及网络的的迅速发展在带给人类方便的同时,也为恶意代码的传播提供了良好的条件。一种具有传播速度快,破坏力大和高智能性等特点的恶意代码一蠕虫,已引起人们的广泛重视。由于蠕虫传播速度极快,安全厂商很难迅速获得检测相应蠕虫的恶意代码的特征,而特征的迟后获得可能会给用户带来很大的潜在危害,因此,本文从协议分析的角度提出了一种特征的自动生成方法,并将产生的特征用来检测蠕虫,取得了良好的效果,并在此基础上用实例探测的方法进一步提高了准确性（降低了漏报与误报）。