面向入侵检测的改进BMHS模式匹配算法

模式匹配算法是入侵检测系统中使用较多的一种算法。分析几种常用模式匹配算法,提出一种基于BMHS的改进算法——N-BMHS算法。该算法对字符串进行双向模式匹配,引入一个新的数组s记录模式串中字符的出现次数,次数为1时可以利用已匹配的信息来辅助得到模式串的最大移动距离。实验结果表明,改进的模式匹配算法能减少比较次数,有效提高匹配速度。     

一种用于入侵检测的改进人工免疫算法

通过对基于信息熵和基于欧氏距离的免疫算法的分析和改进,提出一种新的适用于入侵检测的人工免疫算法（AIAID）。该算法引入马氏距离的思想,改进相似度和期望繁殖率的计算,把抗体不同特征的重要性和取值范围加入到相关运算中,对算法流程进行优化。设计一种新的基于AIAID的入侵检测系统模型。实验表明,将AIAID用于入侵检测能够明显缩短训练时间,提高检测效率。     

基于动态默认转移的深度包检测算法

由于基于确定性有限自动机（DFA）的多模式匹配算法对内存的需求比较大,因此需要对DFA进行优化,以减少其对内存的需求量。算法通过用动态默认转移来替代DFA的failto转移,将DFA中大量的failto转移删掉,从而达到优化DFA的目的。实验结果证明,该算法能有效地优化DFA对内存的需求。     

入侵检测的进化神经网络研究

针对传统入侵检测系统漏报率和误报率高的问题,提出基于遗传神经网络的入侵检测系统。该系统将遗传算法和BP算法有机结合,利用遗传算法较强的宏观搜索能力和全局寻优特点,优化BP网络的初始权值和阈值,并在此基础上进行神经网络学习,从而建立入侵检测系统的优化分析模型。实验结果表明,该算法可以有效地运用于入侵检测系统中。     

基于约简SVM的网络入侵检测模型

支持向量的数量越大,基于SVM的网络入侵检测系统速度越慢。针对该问题提出一种新的SVM约简方法,在特征空间中对支持向量进行聚类,寻找聚类质心在输入空间中的原像,将其作为约简向量,以实现支持向量削减目的。实验结果证明,该方法能提高SVM入侵检测引擎的速度,增强入侵检测系统的实时响应能力。     

基于时空动态性的MANETs入侵防御模型

移动自组网(Mobile Ad Hoc Networks,MANETs)的固有特性(如有限资源、动态拓扑等)使其比有线网络更易遭受各种安全威胁。现有的MANETs安全技术不能有效适应这些特性,尤其是不能在网络性能和网络安全之间保持平衡。在MANETs时空动态性及其识别的基础上,构建了安全威胁和入侵防御收益与代价的量化评估指标体系,提出了一种系统化的MANETs入侵防御系统模型(IDMSLP),并实现基于网络安全和性能平衡的防御策略生成与防御性能优化方法。通过比较分析,IDMSLP可有效地克服已有MANETs安全技术存在的缺陷,可适于MANETs应用。     

改进粒子群算法和支持向量机的网络入侵检测

网络入侵检测一直是网络安全领域中的研究热点,针对分类器参数优化难题,为了提高网络入侵检测准确性,提出一种改进粒子群算法和支持向量机相融合的网络入侵检测模型(IPSO-SVM).首先将网络入侵检测率作为目标函数,支持向量机参数作为约束条件建立数学模型,然后采用改进粒子群算法找到支持向量机参数,最后采用支持向量机作为分类器建立入侵检测模型,并在Matlab 2012平台上采用KDD 999数据进行验证性实验.结果表明,IPSO-SVM解决了分类器参数优化难题,获得更优的网络入侵分类器,提高网络入侵检测率,虚警率和漏报率大幅度下降.     

工业无线传感器网络中干扰攻击的入侵检测

针对工业无线传感器网络的干扰攻击问题,采用一种基于统计过程控制理论控制图的入侵检测方法.选择数据包投递失败率作为度量属性,计算出对应的控制图上下限,通过监视传感器节点的数据包投递失败率是否在控制图的上下限内,判断节点是否处于被干扰攻击状态;基于工业无线传感器网络标准WirelessHART中采用的时隙跳频技术,建立一种干扰攻击模型,验证入侵检测方法的有效性.仿真结果表明干扰攻击检测方法能有效的检测出节点是否处于被干扰攻击状态,并且漏检率较低,随环境恶化时漏检率变化幅度较小.     

不确定性数据挖掘在IDS中的应用

简要介绍了入侵检测系统,研究了IDS中入侵检测模型和不确定性数据挖掘方法及过程,对不确定性数据挖掘算法进行了分析评价,并使用KDD CUP 1999数据集在Matlab中进行了实证分析处理及测试。     

A fast pattern matching algorithm with multi-byte search unit for high-speed network security

A signature-based intrusion detection system identifies intrusions by comparing the data traffic with known signature patterns. In this process, matching of packet strings against signature patterns is the most time-consuming step and dominates the overall system performance. Many signature-based network intrusion detection systems (NIDS), e.g., the Snort, employ one or multiple pattern matching algorithms to detect multiple attack types. So far, many pattern matching algorithms have been proposed. Most of them use single-byte standard unit for search, while a few algorithms such as the Modified Wu-Manber (MWM) algorithm use typically two-byte unit, which guarantees better performance than others even as the number of different signatures increases. Among those algorithms, the MWM algorithm has been known as the fastest pattern matching algorithm when the patterns in a rule set rarely appear in packets. However, the matching time of the MWM algorithm increases as the length of the shortest pattern in a signature group decreases.In this paper, by extending the length of the shortest pattern, we minimize the pattern matching time of the algorithm which uses multi-byte unit. We propose a new pattern matching algorithm called the L⁺¹-MWM algorithm for multi-pattern matching. The proposed algorithm minimizes the performance degradation that is originated from the dependency on the length of the shortest pattern. We show that the L⁺¹-MWM algorithm improves the performance of the MWM algorithm by as much as 20% in average under various lengths of shortest patterns and normal traffic conditions. Moreover, when the length of the shortest pattern in a rule set is less than 5, the L⁺¹-MWM algorithm shows 38.87% enhancement in average. We also conduct experiments on a real campus network and show that 12.48% enhancement is obtained in average. In addition, it is shown that the L⁺¹-MWM algorithm provides a better performance than the MWM algorithm by as much as 25% in average under various numbers of signatures and normal traffic conditions, and 20.12% enhancement in average with real on-line traffic.