入侵检测系统利用信息熵检测网络攻击的方法

针对传统入侵检测系统报警事件数量多、误报率高的问题,提出了一种基于信息熵的网络攻击检测方法。该方法利用雷尼熵对报警事件源IP地址、目标IP地址、源威胁度、目标威胁度以及数据报大小这5个属性香农熵的融合结果来表示网络状态,通过与正常网络状态的对比识别网络异常。真实攻击和人工合成攻击环境中的实验结果表明,该方法能在保持误报率低于1%的情况下命中率高于90%;与基于特征香农熵的攻击检测方法相比,该方法对攻击更敏感,最易检测出DoS攻击和主机入侵,其次是主机扫描和端口扫描,对蠕虫攻击的检测敏感度稍差。对比测试结果表明,该方法在提高命中率的同时,还能有效降低误报率。     

轻型目录访问协议在网络管理中的应用研究

以网络管理模型为基础,分析了基于关系数据库的数据存储方式难以适应异构网络环境的原因,同时提出了一种新的基于轻型目录访问协议（LDAP）的管理框架,该框架利用标准目录技术存储和访问网管数据,并通过LDAP对外提供统一的公共访问接口,这不仅可以满足异构网络环境的开放要求,而且能够在可靠性、访问速度以及管理集成等方面极大地提高网络管理的质量。     

一种面向网络行为因果关联的攻击检测方法

为了能在攻击目标受损之前检测到攻击事件,提出了面向网络行为因果关联的攻击检测方法.该方法基于SNMP管理信息库数据,根据攻击目标的异常行为,首先利用Granger因果关联检验(GCT)从检测变量中挖掘出与异常变量存在整体行为关联的基本攻击变量,然后针对异常行为特征再次利用GCT从基本攻击变量中挖掘出与异常变量存在局部行为关联的攻击变量,最后根据攻击变量和异常变量之间的因果关系,构建面向攻击方检测的攻击关联规则.在Trin00 UDPFlood检测实验中,所提方法成功挖掘出攻击变量udpOutDatagram,取得了满意的检测效果.实验结果表明,该方法能够在攻击方检测到攻击事件,为及时阻止攻击过程向攻击目标进一步扩散提供预警.     

面向信息系统的生存性恢复机制

为了克服现有信息系统生存性恢复手段单一、执行顺序固化以及恢复过程缓慢等不足,提出了一种以功能部件作为基本修复单位的生存性恢复机制.该机制根据关键功能部件的失效程度将信息系统提供的服务区分成完整服务、可接受服务以及中断服务3种类型,并以功能部件的可用性定义服务和信息系统的生存性.根据失效功能部件对服务的影响程度将恢复过程分为2个阶段,先通过修复关键功能部件恢复中断服务,然后再通过修复非关键功能部件完善可接受服务.应用新的恢复机制对一个网络教学系统进行生存性恢复实验,结果表明该机制能够依据信息系统的生存性态势确定恢复行为和执行顺序,与串行恢复机制相比,恢复行为的执行次数由9减少到3.     

基于域名共现行为的僵尸网络行为追踪

针对局部行为特征信息偏少而使得僵尸网络行为难以全面追踪的问题,提出了一种基于域名共现行为的僵尸网络行为追踪方法.该方法通过域名共现评分算法计算待测域名与已知僵尸域名的域名共现行为来追踪其他僵尸域名,进而发现更多的僵尸主机;为提高域名评分准确性,还提出了过滤基于网络地址转换的主机域名访问、空间区分单个僵尸网络,以及基于观测时长共现行为统计3项改进措施.采集西安交通大学网络域名服务器的域名查询流量作为数据源进行了实验和测试,结果表明:基于改进的域名评分措施不仅将待测域名数量降为原来的1/4,且计算出的前10名域名共现评分更加合理,提高了追踪僵尸主机的准确性.     

生存波分复用网络的保护容量需求优化

为了最小化光传送网络生存方法的保护容量需求，以生存方法的工作机理为基础，使用多商品流理论构建了以网络链路容量造价为优化目标的优化模型，分析了不同生存方法的优化模型表达形式，解释了残余释放对路径保护方法的保护容量需求产生的优化效果。使用禁止搜索算法对优化模型进行了仿真求解。实验结果表明：面向故障的路径保护方法对保护容量的需求要小于链路保护方法，而且保护路由选择方式和业务分布类型对保护容量需求以及算法复杂度也存在一定的影响。     

基于遗传算法的波分复用网络保护容量优化设计

针对传统数学方法难以快速求得波分复用（VDM）网络保护容量优化问题的工程满意解，提出了一种基于遗传算法的全新求解方案，它具有结构简单，搜索效率高，求解速度快等优点，分析了交配概率和变异概率等控制参数对算法性能和求解精度的影响，为了加快遗传算法对链路分离型路径保护方法下WDM网络优化模型的求解过程，设计了一种简捷的问题解编码方式，它极大地简化了选择，交配和变异等遗传算子的执行，仿真结果表明，基于遗传算法的求解方案能够迅速地求出保护容量优化问题的全局近似最优解，且满足工程设计的精度要求。     

一种面向网络行为因果关联的攻击检测方法

为了能在攻击目标受损之前检测到攻击事件,提出了一种面向网络行为因果关联的攻击检测方法．基于SNMPMIB数据,根据攻击目标的异常行为,利用GCT从检测变量中挖掘出与异常变量存在整体行为关联的基本攻击变量,然后针对异常行为特征,再次利用GCT从基本攻击变量中挖掘出与异常变量存在局部行为关联的攻击变量,最后根据攻击变量和异常变量之间的因果关系,构建面向攻击方检测的攻击关联规则．在Trin00 UDP Flood检测实验中,所提方法在挖掘出攻击变量udp Out Datagrams上取得了满意的检测效果．