轻量级无线网络入侵检测系统

针对当前流行的无线拒绝服务DoS、伪装STA、伪装AP、WarDriving、暴力破解等无线网络攻击,采用误用检测和异常检测结合的方式,设计并实现了一个针对无线局域网的轻量级无线网络入侵检测系统。系统采用用户自定义攻击规则库、自定义授权AP/STA名单、自定义非法AP/STA名单等方式,能针对无线网络具体环境和用户的不同需要,合理调整入侵检测灵敏度和攻击检测阈值。仿真试验表明,与市场上同类系统相比较,本系统能有效提高无线网络入侵检测效率,大大降低误报率和漏报率。     

分层协作入侵检测系统研究

互联网在给广大互联网用户提供方便的同时也更加方便了黑客在不同地点、不同时刻发起对远程网络或主机的攻击。针对这些分布式攻击模式，该文提出并论述了一个基于Agent的分布式入侵检测系统的框架及其实现。引入这种分层协作IDS的主要目的是为了克服单一的主机入侵检测系统以及网络入侵检测系统的某些缺陷。在分布式网络环境中，不同的系统主体在各自安全域中执行彼此的独立安全策略；同时，这些系统主体通过相互协作构成上一级安全域。系统框架参考目前流行的通用入侵检测框架CIDF构建，通过经过扩展的CISL实现不同组件间的通讯及协作。     

基于数据挖掘的恶意行为检测方法

1.引言入侵检测系统(Intrusion Detection System,IDS)是一种动态的网络攻击检测技术,能够在网络系统运行过程中发现入侵者的恶意行为和踪迹,并适时地作出反应。它是防火墙之后的第二道安全防线,与防火墙相辅相成,构成了一个完整的网络安全防护系统。     

一种基于多Agent的分布式入侵检测系统设计

在分析现有基于Agent的入侵检测系统的基础上,提出了一种基于多Agent分布式入侵检测系统模型。该模型采用了分布检测、分布响应的模式,各Agent之间具有良好的相对独立性。通过多Agent技术的思想建立系统总体结构,给出了模型的各个组成部分,并对结构中各种Agent与中心控制台的功能设计进行了分析。同时对涉及到特征匹配算法、动态选举算法、协同算法进行了初步的设计与分析。系统可充分利用各Agent的协同完成入侵检测任务,实时响应,可有效地改进传统IDS。     

一种基于正则表达式匹配的协议分析异常检测方法

在分析了基于协议分析技术的IDS不足的基础上,引入了正则表达式的技术,提出了基于正则表达式匹配的协议分析技术,给出了相应实现算法,并在实际构建IDS规则库时进行了试验,通过实验结果表明,运用正则表达式改善了误用检测中检测特征单一、无法检测新攻击的缺陷,扩展了检测变种攻击的能力,从而大大提高了检测的效率.     

基于滥用检测和异常检测的入侵检测系统

随着Internet的高速发展，网络安全问题越来越引入注目。在层出不穷的黑客技术中，内部攻击始终占据着很大的成分；与此同时，现有的防火墙技术不能满足人们对网络安全的要求，因此所谓的入侵检测系统越来越多地引起了人们的重视。文章介绍了一种异常检测方法和一种滥用检测方法，并根据所描述的方法构造了一个入侵检测系统，实验证明，该系统可以检测到已知的大部分的入侵行为。     

一种改进的基于Agent的分布式入侵检测系统

提出一种改进的基于A gent的分布式入侵检测系统AD IDS,它将基于异常和误用的入侵检测系统有机地结合在一起。在分析A gent的实现上,使用了模式匹配、统计分析、完整性分析相结合的方法。实验证明能够发现一些未知攻击,提高了检测速率。     

基于虚拟蜜罐的入侵特征码生成

目前许多入侵检测系统基于被动防御,需要及时更新入侵检测规则库,否则将对最新的攻击产生漏报现象。而虚拟蜜罐系统基于主动防御,利用虚拟蜜罐软件Honeyd的插件Honeycomb可以为入侵检测系统自动生成攻击特征码,从而降低入侵检测系统的漏报几率。     

分布式入侵检测系统模型研究

避开入侵检测系统的核心问题——入侵检测算法的具体实现，通过对有关感应器、分析器问题的研究分析，提出了一些有利于提高入侵检测准确率、提高系统吞吐量、提高系统自主学习能力的建议。以此为基础，给出了一种不受具体入侵检测算法限制的分布式入侵 检测模型，分析了该模型的优缺点。     

一种面向检测的攻击分类方法及在IDS中的应用

对攻击进行分类，可以使攻击检测系统化，有助于构造高效的检测方法，从而改善IDS的性能。该文提出一种以IDS可直接收集的数据为基础、面向检测的攻击分类方法。进而将该方法应用于所有可在IDS网络数据源中检测出的攻击，提出DetectClass分类方法，用Z语言描述并证明其正确性；接着据此构造相应的检测方法。基于DetectClass攻击分类方法，设计开发原型系统DC-NIDS。     

基于Wi-Fi设备的区域人员密度检测概率研究

为了弥补某一区域人员密度传统检测方法的不足,同时更好地从该区域开启无线保真(Wi-Fi)的手机终端发送的嗅探(PR)帧中获取该区域的人员密度信息,提出一种基于Wi-Fi设备的区域人员密度检测概率模型。首先,通过实验获取常见手机品牌发送嗅探帧的平均时间间隔数据,为概率模型中参数的设置提供指导;其次,根据IEEE 802.11协议及Wi-Fi信道特点,建立Wi-Fi检测器的数学模型;最后,结合具体的环境,选取合理的参数,对检测器的检测概率进行仿真分析。理论分析和仿真结果表明,所建立的数学模型能较好地体现检测器对人员密度的检测情况。     

基于DS证据理论的无线传感器网络MAC层安全研究*

研究了无线传感器网络MAC层安全问题,分析了现有无线传感器网络MAC层协议安全体系的不足之处,针对无线传感器网络遭到非法入侵的情况,提出了一个基于D-S证据理论的MAC层入侵检测机制。该机制利用碰撞率、数据包平均等待时间、RTS包到达率以及邻居节点的报警作为证据,对网络的状态进行实时的分析检测,根据网络的状态作出响应。该算法能够应用于现有的MAC协议如S-MAC、IEEE 802.15.4中,仿真结果表明,该算法能够较好地抵御针对MAC层的攻击,保证网络的安全运行。     

一种基于数据挖掘技术的入侵检测模型研究

入侵检测系统是一种检测网络入侵行为并能够主动保护自己免受攻击的一种网络安全技术,是网络防火墙的合理补充。文中分析了入侵检测系统的通用模型,介绍了入侵检测系统的分类,给出了传统的网络检测技术,在此基础上,详细讨论了数据挖掘技术及其在入侵检测系统中的应用,提出了一个基于数据挖掘技术的入侵检测模型,该模型采用了数据挖掘中的分类算法和关联规则。经过实际测试,该模型能够使网络入侵检测更加自动化,提高检测效率和准确度。     

A hybrid intrusion detection system design for computer network security

Intrusions detection systems (IDSs) are systems that try to detect attacks as they occur or after the attacks took place. IDSs collect network traffic information from some point on the network or computer system and then use this information to secure the network. Intrusion detection systems can be misuse-detection or anomaly detection based. Misuse-detection based IDSs can only detect known attacks whereas anomaly detection based IDSs can also detect new attacks by using heuristic methods. In this paper we propose a hybrid IDS by combining the two approaches in one system. The hybrid IDS is obtained by combining packet header anomaly detection (PHAD) and network traffic anomaly detection (NETAD) which are anomaly-based IDSs with the misuse-based IDS Snort which is an open-source project.The hybrid IDS obtained is evaluated using the MIT Lincoln Laboratories network traffic data (IDEVAL) as a testbed. Evaluation compares the number of attacks detected by misuse-based IDS on its own, with the hybrid IDS obtained combining anomaly-based and misuse-based IDSs and shows that the hybrid IDS is a more powerful system.     

最优搜索理论在入侵检测系统中的应用研究

目前网络入侵检测面临的一个问题是如何在高速网络下有效地检测入侵.分析了snort的检测过程和其存在的问题,提出了提高检测速度的方法.由于内容检测需要使用模式匹配技术,将消耗较多的时间,会引起丢包现象,为了解决这个问题,通过将规则库按照攻击类别分类,然后根据最优搜索原理,将有限的时间分配到各类攻击的检测中去,在尽量不丢包的情况下使检测到攻击的概率最大化.     

融合漏洞扫描的入侵检测系统模型的研究

目前大部分入侵检测系统(IDS)采用基于模式匹配的入侵检测方法,该方法由于计算量大,因而在高速网络中检测效率较低。文章提出一种新的融合漏洞扫描功能的IDS模型,通过定期对系统进行漏洞扫描,及时修补系统安全漏洞,同时IDS根据漏洞扫描结果,对模式库进行动态更新,删除与得到修补的漏洞有关的攻击模式,缩减模式库的规模,提高检测效率。文章根据该模型提出一种基于多Agent的分布式IDS体系结构,提高了系统的可扩充性。     

Securing Cloud Computing from Flash Crowd Attack Using Ensemble Intrusion Detection System

Flash Crowd attacks are a form of Distributed Denial of Service (DDoS) attack that is becoming increasingly difficult to detect due to its ability to imitate normal user behavior in Cloud Computing (CC). Botnets are often used by attackers to perform a wide range of DDoS attacks. With advancements in technology, bots are now able to simulate DDoS attacks as flash crowd events, making them difficult to detect. When it comes to application layer DDoS attacks, the Flash Crowd attack that occurs during a Flash Event is viewed as the most intricate issue. This is mainly because it can imitate typical user behavior, leading to a substantial influx of requests that can overwhelm the server by consuming either its network bandwidth or resources. Therefore, identifying these types of attacks on web servers has become crucial, particularly in the CC. In this article, an efficient intrusion detection method is proposed based on White Shark Optimizer and ensemble classifier (Convolutional Neural Network (CNN) and LighGBM). Experiments were conducted using a CICIDS 2017 dataset to evaluate the performance of the proposed method in real-life situations. The proposed IDS achieved superior results, with 95.84% accuracy, 96.15% precision, 95.54% recall, and 95.84% F1 measure. Flash crowd attacks are challenging to detect, but the proposed IDS has proven its effectiveness in identifying such attacks in CC and holds potential for future improvement.     

Prevention of selective black hole attacks on mobile ad hoc networks through intrusion detection systems

A black hole attack on a MANET refers to an attack by a malicious node, which forcibly acquires the route from a source to a destination by the falsification of sequence number and hop count of the routing message. A selective black hole is a node that can optionally and alternately perform a black hole attack or perform as a normal node. In this paper, several IDS (intrusion detection system) nodes are deployed in MANETs in order to detect and prevent selective black hole attacks. The IDS nodes must be set in sniff mode in order to perform the so-called ABM (Anti-Blackhole Mechanism) function, which is mainly used to estimate a suspicious value of a node according to the abnormal difference between the routing messages transmitted from the node. When a suspicious value exceeds a threshold, an IDS nearby will broadcast a block message, informing all nodes on the network, asking them to cooperatively isolate the malicious node. This study employs ns2 to validate the effect of the proposed IDS deployment, as IDS nodes can rapidly block a malicious node, without false positives, if a proper threshold is set.     

基于蜜罐的入侵检测系统的设计与实现*

传统的入侵检测系统无法识别未知的攻击,提出在入侵检测系统中引入蜜罐技术来弥补其不足,并设计和实现了一个基于人工神经网络的入侵检测系统HoneypotIDS。该系统应用感知器学习方法构建FDM检测模型和SDM检测模型两阶段检测模型来对入侵行为进行检测。其中,FDM检测模型用于划分正常类和攻击类,SDM检测模型则在此基础上对一些具体的攻击类型进行识别。最后,设计实验对HoneypotIDS的检测能力进行了测试。实验结果表明,HoneypotIDS对被监控网络中的入侵行为具有较好的检测率和较低的误报率。     

企业级入侵检测系统的设计与实现

深入研究了入侵检测系统的设计与实现。结合企业级的安全需要提出一种基于主机和网络的监控模型相结合的系统解决方案，并提出与动态防火墙协同工作的框架模型和关于对自身防护的一些见解。