基于本地网保护的蠕虫防御系统研究

为了阻止外网蠕虫向本地网的传播,设计了一个基于本地网保护的蠕虫防御系统.该系统通过监测外部主机连接本地网的连接强度、端口相似度和失败比率等统计信息预警蠕虫扫描行为和可疑外部主机,通过检测和丢弃来自可疑主机的蠕虫攻击包防御蠕虫向本地网传播.为了提高系统效率和减少系统对正常网络活动的影响,蠕虫攻击包检测采用了源地址跟踪和蠕虫特征匹配两级检测.最后建立了该蠕虫防御系统保护下的本地网蠕虫传播模型,并通过仿真实验验证了系统的有效性.     

基于主机级别的蠕虫检测系统设计及实现

在分析蠕虫传播机制基础上,利用Linux内核态的Netfilter框架,以基于FCC(FirstContact Connections,第一次连接)失败概率和重尾特性的蠕虫检测算法为核心,设计并实现了基于主机级别的蠕虫检测系统,达到了降低误报率的目的.实验证明,该系统高效可行,能够迅速准确地检测出内网的蠕虫主机.     

基于扫描流量统计的本地网蠕虫检测方法

为了准确检测外网蠕虫对本地网的传播,在研究蠕虫扫描行为模式的基础上,提出一种基于扫描流量统计的本地网蠕虫检测方法,并给出蠕虫检测方法实现的总体思路、关键算法和检侧过程.该检侧方法分为异常流量检测和扫描包特征匹配检测两个步骤,即首先使用马尔科夫和坎泰利不等式在网络边界检测进入本地网的扫描流量,提取异常流量中的可疑扫描包的特征;然后监控本地网,检测与可疑扫描包特征相匹配的本地网扫描活动,进而判定本地网是否感染外网蠕虫.分析与初步实验证明,该方法能够检测准确检测外网蠕虫对本地网的传播.     

基于OSSIM关联分析技术的蠕虫攻击检测

由于近些年蠕虫攻击日益泛滥和业界相应安全检测产品的功能单一化,导致了安全事件频繁虚警和漏警。鉴于目前这种困境,该文在分别研究了著名开源项目OSSIM和蠕虫攻击技术的基础上,提出了基于序列化启发式关联技术的蠕虫检测方法。该文中提出的这种关联方法采用XML文档描述蠕虫入侵模式,这就使该关联方法比其他方法更加灵活、可信。最后,该文中不仅给出了蠕虫检测的通用关联规则,还搭建了以OSSIM为母体的安全管理平台进行测试。从测试过程和结果显示了该方法的灵活可靠性。     

邮件蠕虫防御系统设计

本文针对邮件蠕虫提出了一种全方位的防御系统.该系统具有高度灵活性和可扩展性的特点,能够融合现有的、成熟的检测和防御技术.有效地防御已知和未知的邮件蠕虫.     

基于有向图分析的蠕虫早期检测方法

网络蠕虫给互联网带来了巨大的损失,实践证明,越早发现蠕虫的传播行为,就越有利于对蠕虫的遏制。首先分析了网络蠕虫早期传播的特征,然后借鉴GrIDS入侵检测系统的图分析思想,提出了一种利用有向图对网络蠕虫早期传播行为进行检测的蠕虫早期检测方法,并设计了有向图分析算法,对网络蠕虫与P2P应用、网络扫描以及突发访问等类网络蠕虫行为进行了准确识别。实验证明,可以准确检测网络蠕虫的早期传播行为,并定位蠕虫源主机。     

基于蠕虫传播特性的蠕虫检测系统设计

蠕虫病毒对当前Internet造成的威胁日益严峻。因此,必须在蠕虫的早期阶段检测出它的传播,并有效地进行抑制和隔离。蠕虫传播基本采用随机扫描方式．在网络中产生了异常的数据流。利用了蠕虫传播的这些共同特性,提出了一种新颖的蠕虫检测机制,有效降低了计算复杂度,并且具有较低的误警率和检测实时性。     

分布式蠕虫检测与主动防御系统的研究与实现

以建立一个实时检测、主动防御网络蠕虫攻击的安全系统为目标,对蠕虫检测与主动防御技术进行了深入的研究,讨论了Aegis模型,探讨了利用snort进行蠕虫误用检测的研究思路和实现方法.仿真实验结果表明,Aegis系统具有良好的自适应性和开放式结构,有效地结合了蠕虫检测与主动防御技术,对蠕虫攻击具有高检测率和低误报率,并能及时有效的防范蠕虫危机.     

基于ARM的嵌入式蠕虫检测系统设计与实现

在分析蠕虫传播机制的基础上,设计并实现了基于主机级别的蠕虫检测系统,并将蠕虫检测系统移植到ARM开发板上,进行蠕虫检测.实验证明,Linux系统进行相关的裁减和编译,烧写到开发板后,能迅速准确地实现网络蠕虫检测和内核态的蠕虫检测系统与用户态的消息交互.     

蠕虫检测技术研究进展

对蠕虫检测技术的进展进行了研究.由于能检测未知蠕虫,异常检测已成为蠕虫检测的重要发展方向.被动检测采用故意设计为有缺陷的系统HoneyPot,用来吸引攻击者、收集攻击信息并进行深度分析.主动检测对正常主机和蠕虫主机的混和流量进行处理,包括基于连接载荷和基于蠕虫行为的检测.分析并讨论了各类方法的特点和适用性,提出目前的检测技术需要更为有效的蠕虫检测指标,并基于正常主机和蠕虫主机在流量自相似性的差异,给出了相应的实时检测指标选择思路.     

基于贝叶斯的网络蠕虫检测技术的研究

介绍了网络蠕虫的定义和工作机制,通过分析得到了网络蠕虫的共有特性.根据蠕虫的特性,提出了一个基于贝叶斯的网络蠕虫检测方法,采用贝叶斯公式来计算首次连接失败的概率,对于不能确定的情况,用后验概率更新先验概率.设计了一个基于贝叶斯的网络蠕虫检测系统的原型系统,详细描述了该系统的结构模型,并从功能角度上介绍了该系统的两个主要组成部分.     

P2P worm detection based on application identification

P2P worm exploits common vulnerabilities and spreads through peer-to-peer networks. Despite being recognized as a potential and deadly threat to the Internet recently, few relevant countermeasures are found in extant literature. Once it breaks out, a P2P worm could result in unpredictable losses. Based on propagation characteristics of the worm, this paper presents a detection method called PWD (P2P Worm Detection), which is designed based on application identification and unknown worm detection. Simulation result and LAN-environment experiment result both indicate that PWD is an effective method to detect and block P2P worms. Translated from Journal of Beijing University of Aeronautics and Astronautics, 2006, 32(8): 998–1002 [译自: 北京航空航天大学学报]     

分布式蠕虫蜜罐部署策略分析

蜜罐的捕获能力来自于其数量和分布位置,在同一网络拓扑中,运用合理的部署策略,可以部署最少的蜜罐,在最短的时间内捕获到蠕虫样本。本文讨论了蜜罐以及蠕虫扫描策略的研究内容,对红色代码蠕虫进行了深入的分析,根据随机扫描扫描策略建立了蜜罐部署策略模型,针对红色代码这种网络蠕虫的扫描策略,在模拟环境下对蜜罐部署策略进行了验证。     

基于AEC的恶意代码检测系统的设计与实现

针对现有恶意代码检测技术的不足,提出了能够有效检测复杂攻击的活动事件关联（AEC）分析技术,设计并实现了一个基于AEC的全新的检测系统。该系统结合误用与异常检测技术,采用AEC的思想将网络中的单个事件进行分类,对每类事件进行纵向关联分析。同时结合一段时间内的数据流量统计结果,最终更准确地推断出可疑的攻击并在它们完成攻击前阻止,向网络管理员发出有意义的准确的报警。     

基于分布式智能代理的入侵检测方法研究

在分析和研究通用入侵检测框架理论和传统入侵检测系统实现策略的基础上,提出融合了滥用检测和异常检测两种方法的检测模型——基于分布式智能代理的网络入侵检测模型,并对检测引擎和检测算法进行了改进,使之具有更高的准确性和对潜在的入侵行为的识别和预测等智能化能力。     

基于分布式蜜网的蠕虫传播模型研究*

为有效防范蠕虫传播所带来的日益严峻的安全威胁,主动防护技术—分布式蜜网被应用到网络中以保障网络安全。分布式蜜网下的蜜罐对蠕虫表现出强诱骗性和“宽进严出”的数据控制策略等特性,影响到蠕虫的传播及控制。基于双因子模型,考虑到分布式蜜网下的蜜罐特性和Internet的无标度网络特性,提出基于分布式蜜网的蠕虫传播模型,并进行了分析;通过模拟实验对模型进行验证,以探讨部署分布式蜜网下的蠕虫传播规律。实验结果表明,部署分布式蜜网不但能第一时间捕获蠕虫样本,而且能减少网络中感染蠕虫主机总数、具备感染能力的最大主机数等     

基于混合网络结构的可控型蠕虫网络系统

研究和建立了一种可控型的蠕虫网络,设计了广播网络与树状网络相结合的混合网络结构,讨论组网、通信和控制方案,并对性能作了分析,有助于对蠕虫网络的认识和防治.     

分布式网络主动防御系统研究

针对DDOS和蠕虫的特点,提出了一种NeTraMet和QOS相结合的主动防御机制,实现对DDOS和蠕虫经济高效的防治.在蠕虫检测上考虑了无特征蠕虫和有特征蠕虫两种情况;一般基于流量的DDOS检测方法预警时,网络实际已经受到一定程度的攻击而且发生阻塞,为了能够更早预警DDOS攻击,提高网络生存性,在DDOS检测中提出了可疑流量线,当流量达到可疑流量和攻击流量之间时,就启动防御机制,利用路由器的QOS功能,尽量减少攻击流的消耗带宽,维持网络正常服务.最后在NS2中进行模拟验证.     

一种网络蠕虫的动态传播模型

研究蠕虫病毒的传播模型是为了更好地揭示蠕虫传播的规律,预测蠕虫爆发的规模。由于对影响蠕虫传播的因素考虑得不够周详,现有的传播模型还不能很好地模拟蠕虫的传播。针对网络蠕虫的具体传播过程,提出一种模型将网络环境变化和用户免疫过程对蠕虫传播的影响考虑进来,定义了新的感染率函数和免疫率函数,提出了蠕虫传播的动态模型。仿真实验表明,该模型能够较好地预测蠕虫的传播,具有一定的有效性。     

基于异常与误用的入侵检测系统

入侵检测系统近年来得到长足的发展,但功能都不够完善.为此将基于误用的入侵检测与基于异常的检测结合为一体.在误用检测上,将检测规则进行分类排序,从而极大地提高了检测效率.异常检测则采用人工免疫技术,使系统对已知的攻击和新型攻击均有较强检测能力.