基于系统调用的Linux系统入侵检测技术研究

提出了一种基于系统调用、面向进程的Linux系统入侵检测方法:利用LKM(Loadable Kernel Modules)技术在Linux内核空间获取检测源数据--所考察进程的系统调用,使用基于极大似然系统调用短序列的Markov模型提取进程的正常行为特征,据此识别进程的异常行为.通过实验表明了此方法的可行性和有效性;并分析了方法在实现中的关键问题.     

基于Linux Shell的安全审计机制

用户登录后在Linux Shell中留下的历史记录是审计信息的重要来源,但未能包含判断入侵与否的足够信息,且很容易被篡改。文中基于shell机制,利用可装入内核模块/、proc虚拟文件系统和系统调用劫持技术,实现了一个较全面的入侵检测的审计机制,同时给出了一个用其进行安全监测的简单实例以及该方法的优点。     

基于Linux Shell的安全审计机制

用户登录后在Linux Shell中留下的历史记录是审计信息的重要来源,但未能包含判断入侵与否的足够信息,且很容易被篡改。文中基于shell机制,利用可装入内核模块/、proc虚拟文件系统和系统调用劫持技术,实现了一个较全面的入侵检测的审计机制,同时给出了一个用其进行安全监测的简单实例以及该方法的优点。     

Linux内核模块及系统调用编程

本文主要描述了如何以模块的方式为Ｌｉｎｕｘ系统加载新的内核函数,以及如何添加新的系统调用以使用户态程序调用这些内核函数。同时,本文还针对这两个问题给出了各自的一个实例,以阐述两者之间的协作关系。     

Linux下基于交叉视图的隐蔽恶意代码检测

Rootkit是攻击者入侵操作系统后,用于秘密保留对目标机器的超级访问权限的一项技术.首先分析了内核级rootkit的原理,分析了现有的Iinux rootkit的检测方法并指出其中的不足.在此基础上,提出一种基于交叉视图的隐藏恶意代码自动检测方法,并提出了系统恢复的机制.提及的检测和恢复系统以可加载内核模块的形式实现,可还原被恶意修改的系统调用表的内容,终止隐藏的进程,移除隐藏的文件,阻止攻击网络流.实验数据表明提出的方法是有效可行的.     

劫持Linux系统调用封杀Core Dump漏洞攻击

Core Dump漏洞影响kernal2.6.13-2.6.17.3的多款Linux操作系统,它可以引发拒绝服务攻击和本地权限提升攻击,危害巨大。恶意进程使用prctl系统调用,通过故意制造Core Dump,可以旁路操作系统安全控制,攻击系统。通过劫持prctl系统调用,对发起系统调用的进程进行行为监视,进而检测攻击,可以有效地阻止和防御攻击的发生。把防御程序编译为可动态插入内核的模块,能在多款受影响的系统上稳定高效地运行。     

基于系统调用监控的Linux入侵检测模型设计

入侵检测系统在计算机安全中有着重要的作用,该文介绍了在Linux系统下基于系统调用监控的入侵检测思想和相应模型的设计。     

基于系统调用的入侵检测技术研究

如今网络攻击的多样性与低成本性以及攻击工具的齐全使得网络攻击日益泛滥。对于防御者来说,遭受一次攻击的损失是巨大的,防御和攻击的不对等使得防御方往往处于被动和弱势的地位。入侵检测技术通过模型学习勾勒网络入侵行为轮廓或正常行为轮廓,从而实现对入侵行为的识别与检测,实现对零日攻击的检测能力。本文是对基于系统调用数据上的入侵检测的综述性文章,重点介绍了系统调用数据的特征提取方法、入侵检测分类模型、应用场景,同时简单概括了系统调用的数据集与模型的评判标准。     

基于HMM的系统调用序列异常入侵检测

本文首先介绍了入侵检测的发展状况,接着用马尔可夫和BW算法进行建模;然后以系统调用执行迹这类常用的入侵检测数据为例,验证该模型的工作效果,最后将计算机仿真结果与其他检测方法进行了比较。通过实验和比较发现,基于HMM的系统调用序列的异常检测率比其他方法有明显的提高。     

基于系统调用分类的异常检测

提出了一种新的基于规则的异常检测模型.把系统调用按照功能和危险程度进行了分类,该模型只是针对每类中关键调用(即危险级别为1的系统调用).在学习过程中,动态地处理每个关键调用,而不是对静态的数据进行数据挖掘或统计,从而可以实现增量学习.同时通过预定义,精炼规则,有效地减少了规则数据库中的规则数目,缩减了检测过程中规则的匹配时间.实验结果清楚地表明,检测模型可以有效侦测出R2L,R2R和L2R型攻击,而且检测出的异常行为将被限制在相应的请求内而不是整个系统调用迹.检测模型适合于针对特权进程(特别是基于请求--反应型的特权进程)的异常入侵检测.     

构建LinUX安全操作系统

信息安全问题日益严重,操作系统的安全显得尤为重要。而Linux的安全等级仅接近国家标准一级安全标准,因此需要Linux系统的安全性进行完善,设计Linux安全操作系统达到国家三级安全标准以上。本文着重论述利用Linux支持的可加载内核模块实现的基于强制访问控制的Linux安全操作系统的体系结构及其功能单元和相关技术细节。     

Android系统Rootkit技术综述

Rootkit秘密修改操作系统的代码和数据,给计算机系统带来严重威胁。随着操作系统在手机中的不断普及,智能手机也开始面临这一威胁。以Android智能手机系统为例,针对一种基于SMS(Short Messaging Service)的内核级Rootkit技术的实现原理与攻击行为进行了分析研究,并提出EPA(Executive Path Analysis)等三种相应检测技术。     

基于系统调用的入侵检测系统研究

入侵检测是网络安全研究的热点技术之一,是新一代安全保障方案。该文实现了一种基于系统调用的异常入侵检测方法,使用系统调用作为输入,构建程序中函数的有限状态自动机,利用该自动机检测进程流程是否发生异常来确定是否发生了入侵。实验结果表明,该技术不仅能有效地检测出入侵行为,而且可以发现程序漏洞的位置,便于修改代码。     

数据挖掘技术在异常检测中的应用

入侵检测技术已经成为网络安全领域的研究热点。本文介绍了入侵检测中的数据挖掘技术及其应用,并阐述了基于系统调用和数据挖掘算法的异常入侵检测系统的设计与实现。     

基于Linux系统调用的内核级Rootkit技术研究

系统调用是用户程序和操作系统进行交互的接口。劫持系统调用是内核级Rootldt入侵系统后保留后门常用的一项的技术。研究Linux系统调用机制及系统调用劫持在内核级Rootkit中的应用可以更好地检测和防范内核级Rootkit,使Linux系统更加安全。文中在分析Linux系统调用机制的基础上,研究了内核级Rootldt劫持系统Linux系统调用的5种不同方法的原理及实现,最后针对该类内核级Rootkit给出了3种有效的检测方法。在检测过程中综合利用文中提出的几种检测方法,能提高Linux系统的安全性。     

基于系统调用挂钩的隐蔽木马程序检测方法

隐蔽木马程序的设计本质是劫持常规的执行路径流,当前大多数检测手段无法全面检测出隐蔽性日益增强的木马程序。该文结合操作系统程序执行流程的局部相关性与确定性,在分析用户进程空间与内核空间中系统函数调用标志信息的基础上,检测系统中是否存在木马程序设置的隐蔽性系统调用挂钩,设计并实现了相应的检测方法。与现有的检测方法相比,该方案弥补了检测未知木马的不足,检测结果更全面。     

基于系统调用与进程堆栈信息的入侵检测方法

提出一种利用动态提取进程堆栈中的信息来寻找不定长模式的方法。该方法以进程中产生系统调用的函数返回地址链作为提取不定长模式的依据,根据函数的结构关系对模式集进行精简,得到一组不定长模式集。在此基础上,以不定长模式作为基本单位构建了一个马尔可夫链模型来检测异常行为。实验结果表明,该方法的检测性能要优于传统的不定长模式方法和一阶马尔可夫链模型方法,能够获得更高的检测率和更低的误报率。     

基于系统调用的入侵检测研究进展

基于系统调用的入侵检测是当前信息安全领域的研究热点之一。全面分析了已有的基于系统调用的入侵检测的理论与技术,总结了近年来的研究进展,并对其发展趋势进行了展望。随着基于Tide的商用系统SanAPT的推出,需要进一步研究的将是提高检测性能,降低误报率,解决与实用化相关的多平台、轻量化、分布化等方面的问题。     

基于系统调用顺序和频度特性的入侵检测模型

提出了一种将系统调用的顺序特性和频度特性相接合来构建入侵检测模型（COFIDS模型）的新方法，该模型采用kNN(k-Nearest Neighbor Classifier)算法实现入侵检测，并利用一种改进的相似因子，来增加系统调用序列间相似度的差别，减少了识别误差，提高了检测率，降低了入侵检测的误报率。实验表明，COFIDS还具有较强的抗噪声干扰的能力。抗噪声干扰的能力。