基于状态机的入侵场景重构关键技术研究

分析了现有的各种安全事件关联算法,提出了一种基于状态机的攻击场景重构技术.基于状态机的攻击场景重构技术将聚类分析和因果分析统一起来对安全事件进行关联处理,为每一种可能发生的攻击场景构建一个状态机,利用状态机来跟踪、记录攻击活动的发展过程,以此来提高关联过程的实时性和准确性.最后通过DARPA2000入侵场景测试数据集对所提出的技术进行了分析验证.     

基于攻击症状的安全事件关联方法研究

提出一套基于攻击症状的安全事件关联方法.根据攻击和症状间因果关系构建了安全事件关联模型,提出了依据关联模型自动计算产生安全事件关联规则的思想,并用特征代码匹配法实现事件关联.     

基于开源工具集的大数据网络安全态势感知及预警架构

对信息系统安全防护而言,大数据是一把双刃剑。信息量的巨增使得数据价值密度更小,给APT等攻击行为提供了更好的藏身环境;但大数据处理技术对海量数据的聚合、挖掘和分析又使得准确检测及预测攻击威胁成为可能。为增强信息系统的威胁感知与攻击预警能力,构建大数据威胁处理平台势在必行。基于最新的开源大数据组件集,构建了集数据收集整理、数据存储、离线分析发现、实时关联检测、威胁预警和态势呈现等功能于一体的、支持全流程安全事件处理过程的、完整的网络安全态势感知及预警架构,与现有同类平台架构相比,其具有高可用、可扩展、易部署等特点,且能较好地支持威胁情报的引入。     

基于移动Agent的安全事件关联框架

现有信息安全防护系统存在着一些不足,比如数据源单一、体系结构不尽合理等,从而影响了整体的安全防护效果.针对这些不足,在对安全事件的树型体系和处理流程进行分析的基础上,提出了一个基于移动Agent的安全事件关联框架,并设计了多种不同功能和角色的移动Agent,借助于移动Agent具有的自主执行能力、智能推理能力与迁移能力,对网络中不同节点处发生的大量安全事件进行高效的检测、过滤与整合,并对这些事件间存在的时序关系、因果关系、统计关系等内在联系进行深度关联分析;在对Agent平台的安全需求与功能需求进行深入分析的基础上,选择Aglet系统作为开发平台实现了简单的原型系统,并通过几个具体的多步骤攻击实例,验证了移动Agent用于安全事件关联分析的有效性和优势.     

基于AEC的恶意代码检测系统的设计与实现

针对现有恶意代码检测技术的不足,提出了能够有效检测复杂攻击的活动事件关联（AEC）分析技术,设计并实现了一个基于AEC的全新的检测系统。该系统结合误用与异常检测技术,采用AEC的思想将网络中的单个事件进行分类,对每类事件进行纵向关联分析。同时结合一段时间内的数据流量统计结果,最终更准确地推断出可疑的攻击并在它们完成攻击前阻止,向网络管理员发出有意义的准确的报警。     

关联分析算法在安全管理平台中的研究与应用

为了解决安全管理中无效的重复安全事件以及事件之间独立分析的问题,需要对安全管理平台中的关联算法重新进行设计。结合当前安全管理平台并通过分析几种关联算法的优劣性,从中选择了概率相似度算法和先决条件算法作为研究的对象,提出了一种基于两者的混合关联算法,并对该算法进行了简单介绍。通过对混合关联算法应用于安全管理平台的方式进行探索,提出了基于此算法的关联模块的设计方案。混合的关联算法应用于安全管理平台后,能够有效的融合相似告警,消除重复告警,实现了攻击场景的灵活再现,使得管理员不仅能从整体掌握了网络安全状态,也能直观地做出决策,更好的维护网络安全。     

基于多维度实体行为构建攻击关联画像

目前大型SOC平台（安全运营中心）接入的网络流量以及安全数据量极其庞大，这其中蕴含大量有价值信息，但常规的分析方法仅关心实时的告警和安全事件，无法有效整合异构数据、提取更多威胁数据、对攻击进行关联分析。对多维实体建模画像的数据处理方法，以及基于画像自动关联拓线技术进行研究，形成完整的攻击关联画像，沉淀数据蕴含的宝贵信息，提升企业安全风险识别能力。     

新闻视频故事单元关联分析技术研究综述

新闻视频故事单元关联分析是将新闻视频分割所得的故事单元按照报道的新闻事件所进行的一种特殊聚类.故事单元是新闻视频各层次结构中包含有新闻事件完整语义的结构单元,是对新闻视频进行分析、检索、组织等应用的最佳层次.对新闻视频故事单元关联分析技术进行了综述;按照方法所利用的信息类型将现有方法分成三类:基于文本相似度的方法、基于多模态信息相似度的方法和基于关键帧视觉重复性的方法;讨论了每种方法的特点并对相关技术的发展趋势进行了探讨.     

审计系统中基于状态机的实时关联分析子系统研究与实现

网络集中安全审计系统的研究与应用已经成为国内外研究的热点。在海量的网络事件中,准确实时地检测分析入侵安全事件的类别并自动响应是集中审计系统实现中关键的技术,也是最大的难点。本文研究了基于状态机的实时关联分析子系统的实现技术,其中详细分析了攻击场景描述、场景库和分析引擎的实现方法。     

基于Drools的离线分析研究与实现

提出了一种基于Drools离线分析的方法,是对主机监控系统实时分析无法深入的一种补充.对监控系统产生的海量警报信息进行压缩,对攻击事件的发生过程进行安全事件关联分析.首先介绍了Drools的工作原理,然后基于系统整体模型,给出了规则推理的详细设计策略和关键技术的实现.最后进行了离线分析仿真试验,U盘监控类离线分析结果表明警报信息数量的压缩率在9.898%以上并得到了攻击(操作)过程.     

分布式异构网络恶意攻击取证及预警方法研究

传统的网络恶意攻击取证方法对恶意攻击行为的检查不全面、恶意攻击行为相似度分辨准确性低。为此,提出了一种分布式异构网络恶意攻击取证及预警方法。利用CVSS计算器对网络恶意攻击行为的严重等级进行评估,结合灰关联分析法建立灰关联模型,对评估要素进行量化处理;在此基础上,获取并处理日志、事件、警告和证据信息,建立证据库。根据取证结果,结合TOP-K预警策略实现分布式异构网络恶意攻击的预警和预警信息储存。实验结果表明,所提方法对恶意攻击行为的查全率和恶意攻击行为相似度分辨的准确性较高,且预警反应耗时较短,不仅能够准确检测恶意攻击行为,还能够及时发出警报,有效维持分布式异构网络的安全性。     

基于串空间模型的多协议猜测攻击验证分析

对安全协议进行猜测攻击,如果攻击者不能正确猜测用户秘密,那么他就会设法使用其他的信息来验证这种猜测.过去仅考虑了协议在独立执行的时候所遭受到的攻击.现引入一种新类型攻击称为多协议猜测攻击,它可以存在于混合协议中.接着,采用程序化分析方法对协议可能遭受到的猜测攻击进行了分析即协议的脆弱性分析.最后,加入一定的限制条件并使用串空间建模,进而保证了协议的安全性即协议的健壮性验证.     

一种联合检测命名数据网络中攻击的方法

兴趣泛洪攻击(interest flooding attack,IFA)和合谋兴趣泛洪攻击(conspiracy interest flooding attack,CIFA)是命名数据网络(named data networking,NDN)面临的典型的安全威胁.针对现有检测方法的检测特征单一因此不能有效地辨别攻击种类...     

AKC攻击研究:攻击方式、转换算法和实例分析

攻击者获取某主体（actor）的长期私钥后,利用该私钥伪装成其他主体欺骗actor或获取保密信息的行为被称为AKC（Actor Key Compromise）攻击.除密钥交换协议外,AKC攻击在其他类型的协议研究中较少受关注.本文强调了AKC攻击问题的重要性,并对其攻击方式和应对策略进行系统研究.通过实验总结出4类AKC攻击方式,并对应提出3类抵制AKC攻击的协议模型和设计原则.在此基础上,给出了将一般协议转换为AKCS协议（在AKC攻击下保持安全性质的协议）的启发式算法.在实例分析中,将算法应用在Email、SET、Kerberos等协议上.实验表明,上述协议受AKC攻击,但在算法的转换下,协议不再受AKC攻击影响.     

基于网络安全知识库的入侵检测模型

在网络安全知识库系统的基础上,提出一个基于网络安全基础知识库系统的入侵检测模型,包括数据过滤、攻击企图分析和态势评估引擎。该模型采用进化型自组织映射发现同源的多目标攻击;采用时间序列分析法获取的关联规则来进行在线的报警事件的关联,以识别时间上分散的复杂攻击;最后对主机级和局域网系统级威胁分别给出相应的评估指标以及对应的量化评估方法。相比现有的IDS,该模型的结构更加完整,可利用的知识更为丰富,能够更容易地发现协同攻击并有效降低误报率。     

基于事件逻辑的无线Mesh网络认证协议安全性证明

无线Mesh网络是一种结合无线局域网和移动自组织网络的新型多跳网络,无线网络的开放性和资源受限性使得无线网络容易遭受重放、伪装等攻击。事件逻辑是一种描述并发与分布式系统中状态迁移和算法的形式化方法,可用于证明网络协议的安全性。以事件逻辑为基础提出一系列性质,其中包含多组合信息交互、不叠加、事件匹配、去重复、去未来,以降低协议分析过程中的冗余度以及复杂度,提高协议分析效率。对无线Mesh网络客户端双向认证协议进行分析,证明该协议能够抵抗中间人发起的重放攻击,无线Mesh客户端双向认证协议是安全的。此理论适用于类似复杂无线网络协议形式化分析。     

安全事件管理系统中关联分析引擎的实现

随着信息化技术的不断发展,网络攻击行为日益猖獗,大型企业为了保障企业网络的正常运转,在网络上部署了大量的安全设备。当网络攻击行为发生时,安全设备会在短时间内产生大量的安全告警事件,管理员很难在有限时间内从告警事件中获得有价值的信息。安全事件管理系统统一收集和管理这些安全事件,并将安全告警事件、网络设备和主机日志以及通过漏洞扫描获得的系统漏洞信息进行关联分析,能快速地发现网络攻击行为可能带来的危害,提高整个网络的安全性和可靠性。     

缓存侧信道防御研究综述

微架构侧信道攻击(microarchitectural side channel attack)是一种利用处理器微架构状态开展侧信道攻击的方式.它打破了操作系统及其他软件层面提供的隔离手段,严重威胁了用户的信息安全,受到了学术界的广泛关注.与其他传统侧信道攻击不同,微架构侧信道攻击不需要攻击者与被攻击对象存在物理接触,...     

Robust and efficient detection of DDoS attacks for large-scale internet

In recent years, distributed denial of service (DDoS) attacks have become a major security threat to Internet services. How to detect and defend against DDoS attacks is currently a hot topic in both industry and academia. In this paper, we propose a novel framework to robustly and efficiently detect DDoS attacks and identify attack packets. The key idea of our framework is to exploit spatial and temporal correlation of DDoS attack traffic. In this framework, we design a perimeter-based anti-DDoS system, in which traffic is analyzed only at the edge routers of an internet service provider (ISP) network. Our framework is able to detect any source-address-spoofed DDoS attack, no matter whether it is a low-volume attack or a high-volume attack. The novelties of our framework are (1) temporal-correlation based feature extraction and (2) spatial-correlation based detection. With these techniques, our scheme can accurately detect DDoS attacks and identify attack packets without modifying existing IP forwarding mechanisms at routers. Our simulation results show that the proposed framework can detect DDoS attacks even if the volume of attack traffic on each link is extremely small. Especially, for the same false alarm probability, our scheme has a detection probability of 0.97, while the existing scheme has a detection probability of 0.17, which demonstrates the superior performance of our scheme.     

基于簇的传感器网络节点复制攻击检测

当传感器节点布置在敌方区域并遭到敌人捕获时,敌方有能力破解传感器节点而得到其中所存储的重要信息.敌人一旦掌握这些信息,便可以复制一系列这样的节点且将其布置到网络中为进一步开展攻击作准备,这种入侵活动被称为传感器网络节点复制攻击.节点复制不同于诸如路由攻击一类的外部攻击,它直接危害传感器节点,破坏力强,给网络带来严重影响.在现有的分布式检测方法基础上提出一种基于簇结构的传感器网络节点复制攻击检测方案.仿真实验表明,改进的方案能对节点复制攻击做出有效判断,而且传输开销较现有检测方案要小.