从国家行为角度探讨构建信息网络安全审查制度

提出在世贸规则认可的“安全例外”原则下构建信息网络安全审查制度。信息网络安全审查决策属于国家行为,豁免于行政复议和司法审查,为国家处理信息网络领域国家安全事件提供决策平台和实施手段。国内关于构建信息网络安全审查制度的观点很少认识到信息网络安全审查国家行为属性,将其混同于信息安全产品强制认证制度或者设备检测等一般性制度,降低了信息网络安全审查制度的地位和作用。     

Android恶意应用HTTP行为特征生成与提取方法

Android恶意应用数量的不断增加不仅严重危害Android市场安全,同时也为Android恶意应用检测工作带来挑战。设计了一种基于HTTP流量的Android恶意应用行为生成与特征自动提取方法。该方法首先使用自动方式执行恶意应用,采集所生成的网络流量。然后从所生成的网络流量中提取基于HTTP的行为特征。最后将得到的网络行为特征用于恶意应用检测。实验结果表明,所设计的方法可以有效地提取Android恶意应用行为特征,并可以准确地识别Android恶意应用。     

基于域名的恶意行为检测技术

文章首先对域名恶意行为进行简述;然后从域名恶意行为生成机制、相似性、跳变性和互通性四个维度介绍现有的基于域名的恶意行为安全检测技术;之后从DNS流量检测系统和基于DNS数据挖据技术两个维度介绍现有的检测系统;最后展望了恶意域名检测的发展方向。     

DDoS攻击恶意行为知识库构建

针对分布式拒绝服务（distributed denial of service,DDoS）网络攻击知识库研究不足的问题,提出了DDoS攻击恶意行为知识库的构建方法。该知识库基于知识图谱构建,包含恶意流量检测库和网络安全知识库两部分：恶意流量检测库对 DDoS 攻击引发的恶意流量进行检测并分类;网络安全知识库从流量特征和攻击框架对DDoS 攻击恶意行为建模,并对恶意行为进行推理、溯源和反馈。在此基础上基于DDoS 开放威胁信号（DDoS open threat signaling,DOTS）协议搭建分布式知识库,实现分布式节点间的数据传输、DDoS攻击防御与恶意流量缓解功能。实验结果表明,DDoS攻击恶意行为知识库能在多个网关处有效检测和缓解DDoS攻击引发的恶意流量,并具备分布式知识库间的知识更新和推理功能,表现出良好的可扩展性。     

绿盟科技多项成果入选GSMA《人工智能赋能安全应用案例集》

2月22日,GSMA(全球移动通信系统协会)在2021年世界移动通信大会(MWC)上海展上发布了《人工智能赋能安全应用案例集》(以下简称“案例集”)。绿盟科技提供的“基于AI的自动化响应与处置系统”、“基于威胁情报的多维恶意域名自学习检测技术”、“多智能分析引擎在态势感知中的应用”以及“基于用户行为的数据安全异常检测”四项成果入选该案例集。     

基于逆向工程的Android特征库提取研究

随着智能手机的快速普及,智能手机恶意APP的数量与日俱增。恶意行为代码的二次复用开发、恶意APP的自动生成技术使得具有恶意行为的APP开发效率大大提高,恶意程序的数量急剧上升,现有的恶意行为特征库分类繁杂、良莠不齐,不利于对恶意APP进行恶意行为分析。一个全面、稳定、可扩展的恶意行为特征库,能有效地提高对恶意行为软件的检测精度,有利于分析恶意行为的不断演化的特征。文中基于APP逆向工程研究提出了一个基于文本挖掘以及信息检索的恶意特征库构建方法,并通过构建恶意行为演化关系树对恶意行为簇之间的演化关系进行了分析,经过实验验证本文提出的构建恶意行为特征库方法对静态分析恶意应用提供了可靠的基础,提高了恶意行为检测精度。     

传统和深度学习方法在恶意软件检测中的应用

深度学习作为机器学习技术的拓展,凭借其自身强大的数据处理能力,在图像处理和语音识别等方面表现出色.在软件安全领域,恶意软件的威胁是软件领域主要安全风险之一,可以利用深度学习算法有效提升恶意软件的检测效率.基于此,分析传统和基于深度学习的恶意软件检测方法,验证了在传统的分析方式下融入深度学习模型框架,可以在大量恶意样本中训练出较好的检测模型,同时讨论了未来软件安全可能面临的主要挑战.     

基于动态监控的Android恶意软件检测方法

Android平台是当今最热门的移动终端平台,但其平台开放性特点使得Android恶意软件数量众多,成为移动安全的重灾区。文中针对Android平台的恶意应用的行为进行检测分析,研究基于动态监控的异常检测技术,提出了一种基于应用行为动态监控的检测方法。测试结果表明,该方法能够有效识别恶意软件,标注出其恶意行为。适用于Android移动智能终端安全防护的需要。     

一种静态Android程序恶意性检测方法

分析Android恶意程序行为特征,研究基于静态行为特征的Android程序恶意性检测方法及其实现方案,根据程序的静态行为特征来判断程序是否具有恶意性。针对Kirin方案做了2个方面的改进,一方面增加了对API的检测,细化了检测粒度,另一方面量化了不同静态行为特征的恶意性指数,通过计算程序的恶意性指数来分析程序的安全等级。实验结果表明,该方法能够有效地检测Android程序的恶意性程度。     

天地一体化信息网络安全防护技术的新思考

天地一体化信息网络是国家面向2030的重大科技工程,安全防护是保障其运行的关键。由于能够主动适应用户、网络和业务的快速变化,可以实现网络技术与安全的共生演进,天地一体化信息网络成为近年来国内外学术界和产业界普遍关注的重要方向。在分析天地一体化信息网络面临的安全威胁和现有防护技术思路的基础上,探讨了内生式安全防御技术在天地网络架构、关键信息系统中的应用设想,相关技术思路和设计可为内生安全的天地一体化网络安全防护体系建设提供参考。     

Mobile malware traffic detection approach based on value-derivative GRU

For the dramatic increase in the number and variety of mobile malware had created enormous challenge for information security of mobile network users,a value-derivative GRU-based mobile malware traffic detection approach was proposed in order to solve the problem that it was difficult for a RNN-based mobile malware traffic detection approach to capture the dynamic changes and critical information of abnormal network traffic.The low-order and high-order dynamic change information of the malicious network traffic could be described by the value-derivative GRU approach at the same time by introducing the concept of “accumulated state change”.In addition,a pooling layer could ensure that the algorithm can capture key information of malicious traffic.Finally,simulation were performed to verify the effect of accumulated state changes,hidden layers,and pooling layers on the performance of the value-derivative GRU algorithm.Experiments show that the mobile malware traffic detection approach based on value-derivative GRU has high detection accuracy.     

基于区块链技术的可信网络

随着网络安全问题不断频发,传统补丁式外置安全方案已经不能满足业界需求,产业各方更希望从网络架构层实现内生安全,因此提出了去中心化可信网络架构。在研究现有网络底层协议安全的基础上,提出了基于去中心化技术/区块链技术的可信网络的架构方案,能够有效地解决现有网络缺乏内生安全的问题,并在中国下一代互联网（China’s Next Generation Internet,CNGI）进行了验证。此方案从协议层实现了网络安全,避免恶意网络攻击或者因配置失误造成的网络故障。     

基于改进型循环神经网络的恶意代码分类检测

近年来,随着恶意代码检测技术的提升,网络攻击者开始倾向构建能自重写和重新排序的恶意代码,以避开安全软件的检测。传统的机器学习方法是基于安全人员自主设计的特征向量来判别恶意代码,对这种新型恶意代码缺乏检测能力。为此,文中提出了一种新的基于代码时序行为的检测模型,并采用回声状态网络、最大池化和半帧结构等方式对神经网络进行优化。与传统的检测模型相比,改进后的模型对恶意代码的检测率有大幅提升。     

恶意代码自动分析系统的研究

恶意代码的网络行为分析是网络安全领域的一个重要研究视角。针对现有系统普遍存在的网络行为分析不全面、不深入的问题,归纳了恶意代码的功能模块,提出了较为全面的网络行为分析内容。通过对比已有系统的网络行为分析功能,选取合适的系统CUCKOO作为基础平台。通过实例对其网络行为分析功能进行详细分析,并提出了优化、扩展方案。     

卫星网络安全路由研究

依据卫星网络特点，对卫星网络安全的关键技术进行深入的研究，提出一种安全路由协议，该协议采用静态配置与动态调整相结合的策略，在网络拓扑变化时自动对路由进行调整，并为协议增加了基于信誉度的安全机制，使之能够检测到网络中节点的恶意行为并迅速做出反应，实现对网络内部及外部攻击的防范。     

基于Windows服务的恶意行为特征检测技术

随着信息化时代的到来,网络安全越来越取得人们的重视,恶意病毒与程序一直是安全工作者的防护中心,网络安全攻与防的博弈从未停止。本文围绕恶意程序对主机系统状态更改的监测为核心,提出了一种基于Windows服务的后台监测方式,利用DLL注入与HOOK API技术从多个维度监测系统的异常行为,进而拦截异常行为。该方法弥补了当前恶意行为监测维度单一的不足。更值得一提的是,本文采用一种内核层次的注入方式,通过分析注入过程的系统调用,将内核级API作为注入的切入点,解决了当前主流操作系统对注入行为的限制,使跨平台的通用注入成为可能。最后,系统以Windows服务的形式运行于后台,降低能耗,提高运行稳定性,同时本文提出了本体自御集的概念,为恶意行为监测提供了更深层次的研究方向。     

RAD‐EI: A routing attack detection scheme for edge‐based Internet of Things environment

Internet of Things (IoT) offers various types of application services in different domains, such as “smart infrastructure, health‐care, critical infrastructure, and intelligent transportation system.” The name edge computing signifies a corner or edge in a network at which traffic enters or exits from the network. In edge computing, the data analysis task happens very close to the IoT smart sensors and devices. Edge computing can also speed up the analysis process, which allows decision makers to take action within a short duration of time. However, edge‐based IoT environment has several security and privacy issues similar to those for the cloud‐based IoT environment. Various types of attacks, such as “replay, man‐in‐the middle, impersonation, password guessing, routing attack, and other denial of service attacks” may be possible in edge‐based IoT environment. The routing attacker nodes have the capability to deviate and disrupt the normal flow of traffic. These malicious nodes do not send packets (messages) to the edge node and only send packets to its neighbor collaborator attacker nodes. Therefore, in the presence of such kind of routing attack, edge node does not get the information or sometimes it gets the partial information. This further affects the overall performance of communication of edge‐based IoT environment. In the presence of such an attack, the “throughput of the network” decreases, “end‐to‐end delay” increases, “packet delivery ratio” decreases, and other parameters also get affected. Consequently, it is important to provide solution for such kind of attack. In this paper, we design an intrusion detection scheme for the detection of routing attack in edge‐based IoT environment called as RAD‐EI. We simulate RAD‐EI using the widely used “NS2 simulator” to measure different network parameters. Furthermore, we provide the security analysis of RAD‐EI to prove its resilience against routing attacks. RAD‐EI accomplishes around 95.0% “detection rate” and 1.23% “false positive rate” that are notably better than other related existing schemes. In addition, RAD‐EI is efficient in terms of computation and communication costs. As a result, RAD‐EI is a good match for some critical and sensitive applications, such as smart security and surveillance system.     

动态自学习的高效入侵检测模型研究

提出了一种基于归纳推理的动态自学习的高效入侵检测模型。将归纳推理方法应用到入侵检测中，提出了适用于入侵检测的增量学习推理算法。通过该算法建立的入侵检测模型能够对不断出现的新的网络行为数据进行自学习，并动态修正模型的行为轮廓，从而克服了传统静态检测模型必须完全重新学习才能更新模型甚至无法重新学习的缺陷，同时较大地提高了入侵检测模型的学习效率和检测效率。     

基于Hadoop云平台的文本安全检测模型研究

随着因特网普及和信息技术广泛应用,网络上大量的色情、暴力、反动等不良信息的入侵。对于不良信息的检测和传播控制显得越来越重要,关系到国家安全和社会稳定。单机模式的不良信息的甄别与检测已不能满足社会的需求,Hadoop云平台作为能够对大量数据进行分布式处理的软件框架,提供了MapReduce,、分布式文件系统HDFS有助于文本安全检测的并行化处理。为此文中提出一种基于Hadoop云平台,可以通过句式结构的判别上下文逻辑的关联性对不良信息的并行检测的模型,减少了检测时间,提高了检测效率。