抗IP分片逃避技术的设计与实现

通过对目前NIDS的检测技术、IP分片形成以及重组机制的分析,发现常用的NIDS的检测方法不能很好地检测包含在IP分片中的攻击特征,这是由于不同的系统对于分片的处理策略是不同的,不能根据NIDS的处理结果推断终端主机的处理结果,从而包含攻击特征的IP分片可以轻松地逃避NIDS的检测。为此,提出了一种针对于抵抗IP分片攻击的方法,通过在NIDS的前端串行地加入一个流量预处理引擎TPE,对IP分片进行预定的规则处理。实验结果表明,此种方法能够有效地抵御90%以上的IP分片攻击。     

基于Web的企业信息管理系统安全方案

分析了传统企业信息管理系统存在的安全问题,应用SSL协议、网络型人侵检测系统、虚拟专用网等技术,提出了一种新的企业信息管理系统安全设计方案。理论分析和实验结果表明,新方案是保证企业信息管理系统安全运行的一种有效方案。     

基于字节频度的异常入侵检测影响因素研究

目前数据包负载异常检测缺乏针对性的测试数据。为此,构建一个模拟网络数据集,对基于字节频度分布的异常检测模型进行测试分析。实验结果表明,该数据集对模型测试具有可行性;数据包大小的分布特性对检测准确度有较大影响,必须根据特定网络服务数据包尺寸的密集分布区确定检测阈值,并尽量向小尺寸方向校准;数据包之间的频度差异对分组求频度平均值的模型有很大影响,组内数据包之间过大的频度差异将导致包模型失效,连接模型性能降低较大,改进的包模型则不受影响。     

一种新型精确深度包检测引擎研究与设计

传统的深度包检测算法通常存在频率带宽瓶颈、不能精确匹配、不切实际的存储要求等其中之一或数个缺点.本文基于哈希与Bloom Filter提出一种新型精确匹配结构:Bloom Filter分类器,首先基于哈希对特征串分组,再用多组Bloom Filter对输入串分类,在每长度定位到唯一可能的匹配串并对比验证.对Snort、ClamAV集合进行了存储实验评估,以约1.22(字节/字符)的低存储代价实现对万条字符串集的精确匹配.该结构具有精确匹配、多字节匹配扩展简单、不存在带宽瓶颈等优点.     

利用蜜罐提高NIDS的检测性能

目前的入侵检测技术本身存在着缺陷,比如特征检测中规则库不完备.由这些缺陷而导致的误报和漏报是制约其发展的重要瓶颈.Honeypot/net是一种新的安全技术,通过部署蜜罐收集攻击信息,再把这些信息加以整理传送给IDS,可以弥补入侵检测技术的一些缺点,从而降低IDS的误报率和漏报率.本文分析了这一设想的可行性,并提出了设计方案.此方案中包括一个Honeynet Software,它联系Honeynet 控制台和NIDS控制台,完成其中提取新模式、传递攻击信息等功能.     

基于Snort的动态自适应多媒体数据处理方法

针对Snort网络入侵检测系统在大网络流量下出现丢包率高的问题,通过对多媒体数据特征进行分析,设计了对网络流量中多媒体数据包的识别方法和两种处理方法,并提出动态自适应多媒体数据处理方法,该方法可以根据网络流量变化和系统处理能力变化自动调整对多媒体数据的处理方式,从而有效降低丢包率.     

NIDS数据有效性的提高

基于网络的入侵检测系统一直受到产生的日志数据庞大,用户使用效果不佳的困扰。为此很多研究在致力于让用户更加方便地阅读这些数据。然而,本文经过分析说明了解决这个问题的更加根本的出路是提高其数据有效性,并以此为基础探讨了改进NIDS的思路。     

入侵检测在高速网络环境下的技术研究

文章从网络安全的防护措施引入入侵检测技术,简单介绍了入侵检测技术的基础知识,然后分析了在当前的高速网络环境下入侵检测系统的缺点与不足,最后围绕怎样解决高速网络环境下的入侵检测问题探讨了几种新的技术。     

用于网络入侵检测的模式匹配新方法

针对新一代网络入侵检测系统(NIDS)的创建需要先进的模式匹配引擎,提出一种模式匹配的新方案,利用基于硬件的可编程状态机技术(B-FSM)来实现确定性处理过程。该技术可以在一个输入流中同时获取大量模式,并高效地映射成转换规则。通过对网络入侵检测系统中普遍采用的规则集(Snort)进行实验,实验结果表明该方法具有存储高效、执行速度快、动态可更新等特点,可以满足NIDS的需要。     

Snort报文嗅探和报文解析实现的剖析

Snort是目前最受关注的一个代码开放网络入侵检测系统(NIDS)。报文嗅探是其最基本也是最重要的部分。该文分析了Snort报文嗅探器的工作方式和工作过程,对Snort报文嗅探和报文解析的实现进行了分析。