基于专家系统的入侵检测技术

提出了一种基于专家系统的入侵检测系统基本框架,该系统综合了基于主机和网络的两种结构特点,利用专家系统进行规则匹配技术来实现入侵检测.该技术有利于系统准确、实时地检测出攻击行为,并可给出详细的解释说明信息,而基于规则又具有模块化特征,使得知识容易封装并不断扩充,并且使系统可方便地实现对新的攻击特征的检测.     

基于案例推理的入侵检测关联分析研究

针对基于规则和模型的入侵检测专家系统中难以建立和表达入侵检测规则的问题,利用基于案例推理(CBR)方法对知识要求的低依赖性,将它引入入侵检测(ID)领域,提出了基于案例推理的入侵检测关联分析(CBRIDRA)模型的框架,研究了系统各功能模块,并对其中攻击案例定义、攻击案例检索、攻击案例管理、专家知识系统等关键技术的解决思路和实现方法进行了讨论。     

入侵检测系统攻击特征库的设计与实现

攻击特征库是基于误用的入侵检测系统的重要组成部分.本文主要介绍了入侵检测系统攻击特征库的设计思想和实现过程,运用Snort规则语言描述了规则库设计,规划了规则库的结构,并对规则解析进行了阐述.     

用遗传算法改进基于专家系统的入侵检测系统

基于专家系统的入侵检测系统的检测性能很大程度依赖于专家系统的规则集.为了提高基于专家系统的入侵检测系统的检测能力,使用遗传算法来对专家系统的规则集进行动态更新.但是基本遗传算法并不能有效对规则集进行动态更新,所以从编码、适应度函数、交叉等几个方面对遗传算法进行了改进.对如何使用改进的遗传算法对专家系统的规则集进行动态更新提出了一种实现方案.     

入侵检测语言的评估

入侵检测语言是入侵检测系统用于定义攻击场景的表示规范．提出一种比较和评估入侵检测语言的方法，该方法建立在一个可被证明是互斥和完备的分类基础上，并基于表达能力、表示简洁性、检测强度等三个测度．使用该方法可以对现有的各类检测语言表示攻击特征并进行推理的相对有效性进行评估，从而揭示出现有检测语言的缺陷和理想的入侵检测语言应具有的特性．     

基于Linux的网络入侵防御系统的研究和设计

基于特征的入侵防御系统是目前的入侵防御技术的主流。分析研究Snort入侵检测系统和Netfilter防火墙的工作原理,对如何保障自身安全以及联动的方式进行探讨,利用插件技术、多线程技术设计编写相关协同模块,提出一种基于Snort和Netfilter的分布式入侵防御系统;针对Netfilter防火墙规则集的顺序敏感性的工作特点,对其规则的编写进行具体优化,提高系统工作效率。经过测试证明,该系统灵活高效,能够利用入侵检测系统的检测能力,动态地为防火墙定制过滤规则,阻断攻击源,从而达到入侵防御的目的。     

基于人工蜂群算法的分布式入侵攻击检测系统

针对网络入侵攻击检测系统检测准确率与计算效率较低的问题,提出一种基于人工蜂群算法的分布式入侵攻击检测系统。将训练集划分为若干的子集,使用特征选择方法提取特征集中类内相关性高、类外相关性低的特征;对人工蜂群算法进行修改,通过引入全局搜索能力强的算法提高人工蜂群算法的性能;根据优化的特征子集与规则集对网络入侵攻击行为进行分类处理。基于网络入侵数据集的实验结果表明,该系统实现了较高的检测性能和计算效率。     

基于规则推理的FPN误用入侵检测方法

针对网络入侵攻击活动的模糊性，提出了一种基于模糊推理的模糊Petri网（FPN）误用入侵检测方法。该方法定义了一个六元组FPN，并将模糊产生式规则精化为两种基本类型。在此基础上给出了FPN表示模糊规则的模型、推理过程和基于FPN的推理算法。最后通过入侵检测的实例对该方法的正确性和有效性进行了验证，结果表明该方法推理过程简单直观、容易实现，而且具有并行推理能力，可适用于大规模的FPN模型，是误用入侵检测技术的一种非常有效的解决方案。     

开放式网络攻击特征库的设计与实现

随着网络攻击的全球化，入侵检测系统要保护的不再是个别子网，而是整个的网络环境．由此，产生了对入侵检测开放式资源的迫切需求．本文的工作实现了一个开放式的网络攻击特征库系统，它包括了1200多条有效的攻击特征．本文设计并实现了用于攻击特征实时更新的攻击特征交换协议（ISEP），并描述了其中基于数字证书扣角色的访问控制技术．最后，通过Nachi蠕虫的实例说明了本特征库中攻击特征的提取方法．     

基于时态知识模型的网络入侵检测方法研究

在分析国内外现有入侵检测技术和系统的基础上，提出了一种基于时态知识模型和可变滑动窗口的实时模式提取算法，并在此基础上，实现了基于规则的、层次化的智能入侵检测原型系统(RIDES)．实验结果表明：该系统不仅能快速检测网络入侵，而且具有一定的学习能力，能够适应不同的网络应用环境．     

数据挖掘技术在入侵检测中的应用研究

随着Internet迅速发展,许多新的网络攻击不断涌现。传统的依赖手工和经验方式建立的基于专家系统的入侵检测系统,由于面临着新的攻击方式及系统升级方面的挑战,已经很难满足现有的应用要求。因此,有必要寻求一种能从大量网络数据中自动发现入侵模式的方法来有效发现入侵。这种方法的主要思想是利用数据挖掘方法,从经预处理的包含网络连接信息的审计数据中提取能够区分正常和入侵的规则。这些规则将来可以被用来检测入侵行为。文中将数据挖掘技术应用到入侵检测中,并对其中一些关键算法进行了讨论。最后提出了一个基于数据挖掘的入侵检测模型。实验证明该模型与传统系统相比,在自适应和可扩展方面具有一定的优势。     

一种实时入侵检测专家系统的设计与实现

该文在分析几种常见入侵检测方法的基础上,设计并实现了一种实时入侵检测专家系统,给出了详细的设计方案和实现方法。最后,分析了常见的入侵,并提供用于检测主机/端口扫描的规则集。实验结果表明,该系统能够快速有效地发现并报告多种入侵,能集成到网络安全产品中。     

基于数据挖掘与CIDF的自适应入侵检测系统

传统的由安全专家手工构造入侵检测规则的方法在新攻击频繁出现的今天越来越暴露出其工作量大、响应慢的局限性。为克服上述局限,该文提出一种自适应的入侵检测系统框架。该系统基于公共入侵检测框架(CIDF)构建,当出现新攻击时,利用数据挖掘对海量数据进行挖掘,得出入侵模型后由系统自动转换为检测规则以实现规则库的自动更新。另外,在一定授权情况下,其他入侵检测系统可以向该系统请求分发入侵模型以得到及时更新。     

基于Snort的混合入侵检测系统的研究与实现

在分析研究snon系统的优缺点的基础上,利用其开源性和支持插件的优势,针对其对无法检测到新出现的入侵行为、漏报率较高以及检测速度较低等问题,在snon系统的基础上结合入侵检测中的数据挖掘技术,提出一种基于snort系统的混合入侵检测系统模型。该系统模型在snort系统原有系统模型基础上增加了正常行为模式构建模块、异常检测模块、分类器模块、规则动态生成模块等扩展功能模块。改进后的混合入侵检测系统能够实时更新系统的检测规则库,进而检测到新的入侵攻击行为;同时,改进后的混合入侵检测系统具有误用检测和异常检测的功能,从而提高检测系统检测效率。     

关联规则向Snort规则转换的应用研究

在入侵检测中的使用关联规则算法,在检测的时候需要重新计算一些统计数据,降低了检测的速度和准确度,所以它提出了一种把数据挖掘的关联规则转化成Snort规则库的方法,这样既提高了入侵检测的速度和准确率,也使得入侵检测具有了一定的自适应能力。     

第一级认知系统在基于专家系统入侵检测中的应用研究

随着恶意入侵计算机现象的日益严重,准确检测入侵的需求应运而生。虽然基于专家系统的入侵检测方法检测准确度很高,但专家知识的获取和规则的动态更新是两大难点。该文提出将第一级认知系统(CS-1)应用于基于专家系统的入侵检测。CS-1采用桶队算法解决了规则评价和规则竞争问题,利用遗传算法不仅去除了降低检测效率的规则,而且取代由遗传算法生成的更强的规则子集。文中对专家系统规则到CS-1分类器的转换及分类器的检测方法进行了实例说明,实验结果体现了该方法的有效性和检测的高效性。     

数据挖掘在入侵检测中的应用

入侵检测是用于检测任何损害或企图损害系统的保密性、完整性或可用性行为的一种网络安全技术。指出当前入侵检测系统存在的问题,并针对现有入侵检测系统漏报、误报率高的问题,提出将数据挖掘技术应用于入侵检测系统。文中论述了常用的数据挖掘算法,提出一个基于数据挖掘技术入侵检测系统模型,描述了模型体系结构及主要功能。实验表明,该模型能提取特征,生成新规则,找到入侵数据,提高入侵检测系统的有效性。     

基于免疫原理与粗糙集理论的入侵检测方法

针对目前基于进程系统调用的入侵检测方法中存在的问题,提出了一种基于免疫原理与粗糙集理论的入侵检测方法。该方法在对系统调用序列中的循环序列进行置换的基础上,借助于粗糙集理论,提取出一个简单的最小预测规则模型;同时融合免疫原理的有关机制,在检测模型中加入对已知入侵的快速检测引擎。同其他方法相比,该方法不需要完备的进程系统调用数据,而且得到的规则简单,更适用于实时检测。实验结果表明,该方法的检测效果优于同类的其他方法。     

智能网络取证系统

智能网络取证为网络防护提供了一种新的措施,弥补了原有网络安全体系中的不足。该系统包括数据采集、数据过滤、数据存储、管理控制和智能取证分析等部分。在数据获取的时候采用了规则过滤机制,减少了系统的负载,提高了电子证据的精确性。在数据获取的时候,系统采用了TCP/IP的实时重组,可以对应用层数据进行过滤和检测。对于获得的数据,分析模块采用多种方式综合分析入侵行为,包括协议分析、专家系统、应用数据还原、入侵检测等技术。在网络环境中,它与IDS,防火墙,VPN等技术结合,可以提供更加安全可靠的防护体系。