信息系统内部威胁检测技术研究

针对企业信息系统中日益严重的内部威胁行为,特别是冒名登录、越权操作等行为,基于用户行为分析的技术,采用主客体混合的分层安全模型,建立了一种新的信息系统内部威胁检测框架.通过比较用户异常行为及主客体权限发现恶意内部威胁行为.应用正则表达式与混合加密算法保证检测准确性和日志安全性.从身份认证、访问控制、操作审计和行为阈值技术四个方面进行安全检测,对关键技术给出了详细介绍.实验证明该检测框架防止了内部人员破坏数据并提供响应和干预能力,提高了信息系统安全性.最后,展望了内部威胁检测技术发展趋势.     

基于朴素贝叶斯理论的内部威胁检测方法

相比信息系统外部威胁攻击,信息系统内部威胁攻击更具隐蔽性,更难被发现并进行阻断。本文介绍内部威胁的概念及内部威胁常见的3个特征。针对用户命令操作行为具有普遍规律性,利用公开的安全数据集S-M数据集,提出一种基于朴素贝叶斯理论的内部威胁检测方法。该方法能够将混入用户中带有攻击操作行为命令的内部威胁检测出来,大大提高了内部威胁检测正确率,降低了误报率,使机器学习思想在内部威胁检测领域得到了广泛的应用。      

一种可控可信的匿名通信方案

加密技术只能对通信数据的内容进行保护,在电子投票、电子医疗、电子商务和电子现金等一些特殊的应用领域,用户的身份、行为、地理位置等隐私信息的保护程度是评估整个系统安全性的重要因素之一.常用的隐私保护方法是利用匿名通信技术来抵抗窃听和流量分析攻击,但匿名通信技术在增强用户身份等隐私信息保护的同时,恶意用户的身份与行为也受到了匿名保护,如何保护合法用户隐私的同时又能防止恶意行为的攻击是推动匿名通信技术大规模应用的关键.作者以增强计算机安全的可信计算技术为基础,提出一种基于可信平台模块的可控可信匿名通信系统架构,该架构通过群组通信技术实现发送方的身份匿名,在通信链路上采用加密嵌套封装的数据通信方法实现用户行为、地理位置等隐私信息的保护.利用这一框架实现的匿名通信方案是由用户向身份管理中心注册获取群组信息、通过可信性评估的用户从节点服务器下载信任节点、用户用随机选择的信任节点建立匿名通信链路、服务提供方对恶意匿名行为用户的追踪等4个功能模块组成.作者对这些模块的协议进行了体系化设计,并给出了每个模块对应的协议方案.通过对方案的安全性、可信性、匿名性、效率等方面的分析与仿真,表明该方案具有较好的安全性、可控性与可信性,可以满足未来互联网环境下大规模部署匿名通信系统的需要.     

基于双空间审计迹的Linux安全审计技术

在研究Linux安全审计技术的基础上,提出一种基于双空间审计迹的安全审计方法,融合操作系统内核空间的系统调用和用户空间的库函数调用,提高对操作系统内核层攻击和恶意用户行为的识别能力。对LSM框架进行审计扩展,用于设计审计模型的数据获取模块,增强了模型的审计粒度、安全性和灵活性。为了提高安全审计的实时性,引入典型集方法压缩正常行为特征库。     

Kylin安全审计子系统的研究和实现

研究操作系统的安全防护技术,预测分析操作系统的安全行为,是操作系统安全的重要内容。预测行为是通过分析系统的审计数据完成的,必须要求安全操作系统具备记录用户行为的功能。然而,在很多情况下,恶意用户攻破了操作系统,意味着拥有系统管理员的权限,它可以破坏审计数据,改变系统审计行为,以达到隐藏自己恶意行为的目的。因此,Kylin操作系统研究并实现三权分立的管理员管理模型,该模型要求审计数据的产生和存储不受除审计管理员之外的任何用户控制。本文研究并设计了内核线程完成审计功能的软件结构,避免了以往通过内核审计模块和审计进程实现的审计系统的脆弱性,保证了审计管理的独立。     

基于云架构的信息系统分级威胁防御机制

针对信息系统自身安全需求及威胁行为特征,提出了基于云架构的分级威胁防御机制。该机制将信息系统作为一个整体进行威胁防护,将文件访问异常行为作为判断威胁的依据,并针对信息系统终端安全分级设计了不同的文件访问行为模型,然后基于云架构进行部署,由用户终端节点对文件访问行为进行监控并主动提供威胁行为报告,再由服务器端进行信息关联融合。在发现威胁同时发现信息系统自身薄弱环节及恶意节点时,可使整个网络系统能及时、有效地抵御威胁攻击,因而在提高防护精度的同时,也提高了效能,从而为信息系统威胁防护提供了有效的解决办法。     

基于Agent和数据挖掘的分布式信息审计平台

针对部门内部人员对部门信息实施的一系列不安全的操作行为,构建了一个基于Agent和数据挖掘的分布式终端行为审计平台。采用数据挖掘技术,实时地对系统所产生的报警信息和审计日志进行分析,并自动扩充规则库;同时,采用入侵检测技术帮助系统管理员做出实时的安全策略。考虑到多部门终端地理位置分散的分布式用户环境,系统引入A-gent。该系统为银行、证券、保险、政府和企业等涉密部门的信息系统提供了一个内部可信赖的安全审计环境。     

基于Agent和数据挖掘的分布式信息审计平台

针对部门内部人员对部门信息实施的一系列不安全的操作行为，构建了一个基于Agent和数据挖掘的分布式终端行为审计平台。采用数据挖掘技术，实时地对系统所产生的报警信息和审计日志进行分析，并自动扩充规则库；同时，采用入侵检测技术帮助系统管理员做出实时的安全策略。考虑到多部门终端地理位置分散的分布式用户环境，系统引入Agent。该系统为银行、证券、保险、政府和企业等涉密部门的信息系统提供了一个内部可信赖的安全审计环境。     

基于旁路监听的数据库安全审计系统

通过分析数据库安全审计机制,提出一种基于旁路监听的数据库安全审计系统框架,并实现了针对Oracle数据库的安全审计系统。涉及Java网络抓包、TNS协议解析、SQL语法解析和数据库安全检测等技术实现,提出一种发现用户正常行为规则的异常检测算法。系统实验结果表明该系统能有效对Oracle数据库进行实时安全审计,并实现了数据库操作行为的安全检测。     

一种基于多实体贝叶斯网络的用户行为评估方法

由于信息系统中用户行为类型的多样性,采用单一的检测方法对内部合法用户的恶意行为进行检测评估效果不好。提出一种基于多实体贝叶斯网络的用户行为可信评估方法,利用多实体贝叶斯网络的对行为的多种要素进行建模、融合,共同推理出用户行为的可信程度。最后的仿真实验表明所提出的模型在信息系统中的用户行为可信评估具有较好的效果。     

基于Android网络恶意行为检测系统的应用研究

目前,Android系统是当今网络用户最对的应用系统之一,而随着科学技术的发展,对于Android系统的恶意行为软件也逐渐增多,给当前的应用用户的财产以及私人信息安全带来了很大的威胁,严重的迟缓了当前移动通信网络技术以及相关于应用客户端的推广;为此,根据Android系统的特有机构设计出一种基于Binder信息流的自动检测恶意行为系统,以此来解决对于当前网络安全对于Android系统用户带来的负面影响;根据目前网络中的应用通信信息,检测可能存在的泄露用户信息的应用软件为目标,建立信息矢量图以此来分析当前网络中的恶意行为;通过对软件进行检测,研究可实用性和检测效果,结果显示其识别率可以达到100%,并且软件运行只占有内存的7%,结果可以达到当前的Android用户的使用范围。     

Auditing a database under retention policies

Auditing the changes to a database is critical for identifying malicious behavior, maintaining data quality, and improving system performance. But an accurate audit log is an historical record of the past that can also pose a serious threat to privacy. Policies that limit data retention conflict with the goal of accurate auditing, and data owners have to carefully balance the need for policy compliance with the goal of accurate auditing. In this paper, we provide a framework for auditing the changes to a database system while respecting data retention policies. Our framework includes an historical data model that supports flexible audit queries, along with a language for retention policies that can hide individual attribute values or remove entire tuples from the history. Under retention policies, the audit history is partially incomplete. Thus, audit queries on the protected history can include imprecise results. We propose two different models (a tuple-independent model and a tuple-correlated model) for formalizing the meaning of audit queries. We implement policy application and query answering efficiently in a standard relational system and characterize the cases where accurate auditing can be achieved under retention restrictions.     

基于多特征融合的Webshell恶意流量检测方法

Webshell是针对Web应用系统进行持久化控制的最常用恶意后门程序,对Web服务器安全运行造成巨大威胁。对于 Webshell 检测的方法大多通过对整个请求包数据进行训练,该方法对网页型 Webshell 识别效果较差,且模型训练效率较低。针对上述问题,提出了一种基于多特征融合的Webshell恶意流量检测方法,该方法以Webshell的数据包元信息、数据包载荷内容以及流量访问行为3个维度信息为特征,结合领域知识,从3个不同维度对数据流中的请求和响应包进行特征提取;并对提取特征进行信息融合,形成可以在不同攻击类型进行检测的判别模型。实验结果表明,与以往研究方法相比,所提方法在正常、恶意流量的二分类上精确率得到较大提升,可达99.25%;训练效率和检测效率也得到了显著提升,训练时间和检测时间分别下降95.73%和86.14%。     

基于多源异构数据融合的网络安全态势评估体系

针对基于单点网络数据很难准确地检测网络恶意活动且无法有效地分析网络状况的问题,本文通过引入多源异构数据融合策略,借鉴层次化网络分析思想,构建出包含流量探测模块、属性提炼模块、决策引擎模块、多源融合模块、态势评估模块等五大模块的网络安全态势评估体系。评估体系以BP神经网络为决策引擎分析各数据源的数据,使用指数加权D-S证据理论融合各决策引擎的输出结果,并基于层次化网络威胁评估方法评估网络威胁状况。实验结果表明:不同探测器探测到的数据对于识别不同类型攻击的优势不同;多源融合技术进一步将识别攻击类型的准确率提升到88.7%;层次化网络威胁评估方法能够有效地评估网络威胁状况。     

基于事件流数据世系的恶意网络行为检测方法

目前网络攻击呈现高隐蔽性、长期持续性等特点,极大限制了恶意网络行为检测对网络攻击识别、分析与防御的支撑。针对该问题,提出了一种基于事件流数据世系的恶意网络行为检测方法,采用事件流刻画系统与用户及其他系统间的网络交互行为,构建数据驱动的事件流数据世系模型,建立面向事件流数据世系相关性的异常检测算法,从交互数据流角度分析和检测恶意网络行为事件,并基于事件流数据世系追溯恶意网络行为组合,为网络攻击分析提供聚焦的关联性威胁信息。最后通过模拟中间人和跨站脚本组合式网络渗透攻击实验验证了方法的有效性。