域名请求行为特征与构成特征相结合的域名变换检测

针对僵尸网络为避免域名黑名单封堵而广泛采用域名变换技术的问题,提出一种域名请求行为特征与域名构成特征相结合的僵尸网络检测方法.该方法通过支持向量机(SVM)分类器对网络中主机解析失败的域名进行分析,提取出可疑感染主机;通过新域名聚类分析,将请求同一组新域名的主机集合作为检测对象,分析请求主机集合是否由可疑感染主机构成,提取出僵尸网络当前使用的域名集合以及命令与控制(Command and Control,C&C)服务器使用的IP地址集合.实验结果表明:训练后SVM分类器可达98.5％以上的准确率;经对ISP域名服务器监测,系统可准确提取出感染主机和C&C服务器的IP地址.     

P2P僵尸网络的快速检测技术

以僵尸网络为平台的攻击发展迅速,其控制协议与结构不断演变,基于P2P协议的分布式结构僵尸网络得到快速发展.现有的P2P僵尸网络检测技术大都通过分析历史网络流量信息来进行离线检测,很难保证检测结果的准确性,也较难满足实时性需求.针对这种情况,提出P2P僵尸网络快速检测技术,首先采用一种改进的增量式分类技术,在线分离出满足P2P协议的网络流量;然后利用P2P僵尸主机的通信模式具有行为相似性和周期性的特点,通过动态聚类技术和布尔自相关技术,快速检测出可疑僵尸主机.实验结果表明该技术能够高效实现P2P僵尸网络的快速检测.     

基于代理控制力的Fast-Flux僵尸网络检测方法

本文基于Fast-Flux僵尸网络对僵尸代理机器控制能力的分析,提出了一种实时检测Fast-Flux僵尸网络的方法,该方法可以通过主动提交DNS查询或者被动分析DNS响应数据包以度量可疑域名相映射IP地址的均匀分布率和平均可服务率以鉴别该域名是否是Fast-Flux域名.通过利用支持向量机(SVM)的实验表明,该方法具...     

利用确定性树突状细胞算法在线检测僵尸网络

将人工免疫系统算法应用于对僵尸网络的实时监测,提出一种基于确定性树突状细胞算法的在线检测模型.通过结合僵尸网络的特征定义行为信号,基于启发信息实现僵尸网络的主机端实时监测.使用标准数据集对模型的有效性进行实验验证,实验结果表明,该模型具有实时性、行为定义简单、可接受多种启发式信息定义的优势,且检测僵尸网络系统的漏报率与误报率均较低.     

基于流量图的僵尸网络检测技术分析

基于常见协议的僵尸网络通信图结构和特征, 对比分析了它们的功能和工作机制及现有基于流量图僵尸网络检测方法的使用环境、 实验数据、 结果和方法的优缺点, 并提出了僵尸网络检测技术的改进措施.     

基于邮件行为异常的垃圾邮件客户端检测

针对僵尸客户端可能存在的垃圾邮件发送行为,从邮件发送的过程和原理入手,提出一种基于邮件行为异常的僵尸客户端检测方法.实验结果显示,正常主机和正在进行垃圾邮件发送的僵尸客户端在进行邮件发送时存在非常显著的差异.     

基于改进Transformer和强化学习的僵尸网络DGA域名检测

针对现有僵尸网络检测方法检测精度不高和检测时间开销较大的问题,提出一种基于改进Transformer和强化学习的僵尸网络域名生成算法(Domain Generation Algorithm,DGA)的域名检测方法。首先,利用深度可分离卷积替换ResNet和ResNeXt网络中的卷积块,通过减少网络模型参数来降低模型的时间开销;其次,利用改进后的ResNet和ResNeXt网络将域名字符串映射到深度特征空间,构造多尺度特征,强化特征的表达能力;再次,利用长短期记忆神经网络(Long Short-Term Memory,LSTM)对Transformer网络进行改进,在保持字符间相对位置的同时,进一步建立上下文的长距离依赖编码,并在此基础上引入注意力机制,强化模型对关键特征的捕获能力;最后,引入强化学习对模型进行微调,提高DGA域名的检测精度。在多个DGA域名数据集上进行测试验证,结果表明该模型在保持检测时间开销较小的基础上,具有更高的检测精度。     

一种基于bot优先抽样的P2P botnet 在线检测技术

僵尸网络利用高效灵活的一对多控制机制,为攻击者提供了储备、管理和使用网络攻击能力的基础架构和平台,已成为当前Internet最严重且持续增长的安全威胁之一。为满足在高速网络实时检测P2P僵尸网络的需求,提出了一种基于bot优先抽样的在线检测技术。该方法利用bot优先的分级算法和基于优先级的包抽样算法,使得检测系统能够高效利用计算资源,在整体抽样率有限条件下,优先对疑似P2P僵尸通信数据包进行抽样,并使用流信息重构技术和流簇分析技术对抽样包进行统计分析来发现P2P僵尸主机。实验结果表明,所提出的在线检测技术能够有效提高对疑似P2P僵尸网络流量亚群的包抽样率,具有良好的在线检测效率和P2P僵尸检测命中率。     

基于树突细胞算法的P2P僵尸程序检测

随着僵尸网络带来越来越多的网络安全威胁,一种新的使用P2P协议的僵尸程序广泛出现。由于P2P僵尸网络不存在中心控制点而很难对其进行关闭或者追踪,从而使P2P僵尸网络的检测非常困难。为了应对这些威胁,根据免疫系统中的树突细胞的功能,提出了基于树突细胞算法用于检测个体主机中的僵尸程序的模型,并且给出了检测方法。用于检测P2P僵尸程序的原始数据通过APItrace工具获得,进程(包括正常进程和僵尸程序进程)的ID被映射为"抗原",进程所产生的行为数据被映射为"信号",它们组成了检测算法的时间序列输入数据并用于数据融合和相互关联。相关实验表明,文中所提出的方法可以实现P2P僵尸程序的检测。     

基于深度学习的虚假域名检测

为了检测恶意程序中的虚假域名,便于识别僵尸网络和恶意程序,提出一种基于深度学习的虚假域名检测模型;该模型以域名字符串的字符序列为输入,利用一维卷积神经网络和自注意力机制,分别挖掘字符序列中各字符之间的局部依赖信息和全局依赖信息,将两者拼接在一起得到组合特征向量;借助多层感知机,得到待检测域名属于不同域名类别的概率.仿真...     

基于隐私保护技术的DNS通信协议

 域名系统（DNS）是互联网基础服务,是互联网访问的重要入口,域名隐私保护是DNS安全的研究热点。提出了一种基于用户数据报协议（UDP）的DNS传输中用户隐私保护的加密方法：DNSDEA（DNS data encryption algorithm）。该方法采用PKI加密体系与DNS协议相融合,不仅解决了域名隐私保护问题,而且与传统DNS体系相兼容,保持了DNS系统的简单、高效的技术特点。与当前的DNS加密方法相比,DNSDEA提高了任务并行的并行化粒度,降低了加密情况下DNS查询的延时。     

基于灰度纹理指纹的恶意代码分类

随着各种新技术的出现,传统的恶意代码的识别和分类技术存在着检测率瓶颈、实时监测效率不高的问题,为了提高准确率,提出了一种基于图像纹理指纹特征与深度学习神经网络结合的分类方法。该方法首先将数据集中恶意代码的二进制文件建模为灰度图,采用改进的灰度共生矩阵提取出恶意代码中的指纹特征图像,并选择不同步长扩展样本量,然后将该指纹特征图像作为输入数据集并采用卷积神经网络模型中进行分类训练。结果表明,该方法可以有效地分类恶意代码,准确率可达96.2%,并在泛化测试中取得了较好的效果。     

基于改进特征选择法的移动通信网络流量异常监测系统

由于传统系统受到网络时延和信号干扰的影响,导致系统监测效果较差,提出了基于改进特征选择法的移动通信网络流量异常监测系统.利用报警装置对异常数据进行警示,并通过显示模块显示监测结果,解析全部网络流量特征.根据特征选择流程,获取网络流量异常特征,实现对异常网络流量的实时监测.提取异常流量并展开分析,采用改进特征选择法对异常流量进行选择,由此实现移动通信网络流量异常监测系统的设计.实验结果显示,该系统最高监测准确率可达88%,保证移动通信网络能在安全稳定条件下运行.     

基于改进型神经网络的双目摄像机标定

摄像机标定是机器视觉中最重要的环节之一,传统标定方法运算量大、计算复杂,非常繁琐。为解决标定存在的若干问题,提出基于改进神经网络的双目视觉摄像机标定方法。通过对双目摄像机有效模型分析,建立空间点图像坐标与世界坐标非线性映射关系,同时引入自适应学习算法,实现隐层神经元的自适应选取,并且在创建网络模型前对样本数据进行归一化处理,提前终止策略,使网络泛化能力得到极大改善。通过与经典标定方法进行比较,表明基于改进型神经网络标定方法能获得较好的双目标定精度。     

基于自编码神经网络的Single-Pass聚类事件识别算法

针对传统Single-Pass聚类算法存在的缺陷，提出了一种基于自编码神经网络的Single-Pass聚类算法。通过多个深层的隐藏层对原始数据进行降维，以更好地提取出原始数据的特征信息；并通过对边缘文本重计算来降低误检率，提高聚类精度。实验结果表明，该算法相比传统Single-Pass算法具有更高的聚类准确度，解决了聚类结果受数据顺序影响的问题。     

基于人工鱼群算法优化神经网络的WSN数据融合

无线传感网(wireless sensor network, WSN)通常节点众多、数据冗余度高,传统的基于随机权值和阈值的前馈反向传播神经网络(back propagation neural network, BPNN)数据融合方法易陷入局部极值,导致融合结果准确性差。提出一种优化神经网络的权值和阈值进而改善WSN数据融合质量的方法-人工鱼群算法前馈反向传播(artificial fish swarm algorithm back propagation, AFSABP)神经网络数据融合。仿真和对比实验结果表明,改进的鱼群算法在收敛速度和寻优精度上都有明显提升,改进后的人工鱼群BP算法数据融合方法相较于传统BP数据融合方法,可减少3.06%的相对误差和3.74%的均方根误差。     

基于主题划分的有组织P2P搜索算法

提出一种基于主题划分的P2P搜索算法———主题覆盖网络搜索算法(TONS).TONS在有组织P2P网络基础上,将结点按主题组织成覆盖网络,使含有相似主题的结点链接在一起,因此可以根据内容将查询限定在P2P网络的局部范围内.通过在覆盖网络中随机添加一些长距离链接,使覆盖网络具有Small-World特性.TONS为有组织的P2P系统提供了一种能依据部分匹配、多关键词等复杂条件搜索结点数据对象的有效方法,与现有的有组织P2P系统相比,它可以将搜索的查全率提高74.7%,并减少P2P网络信息搜索的平均路径距离和平均消息数目.     

基于相似度匹配的网络协议语法分析方法

为解决网络协议语法分析方法中,依赖人工干预、分析效率低下、分析范围较小等问题,提出一种基于相似度匹配的网络协议语法分析方法.通过嗅探采集网络原始数据包,解析基础协议并对数据包进行预处理,提取9维不同角度的特征,建立了网络协议语法相似分析模型,分析网络协议细节语法特征.通过将TCP协议作为已知协议,对UDP、DNS、QQ等3种不同类型的协议测试,结果表明这3类协议报头中,33%以上的字段能在TCP协议中找到对应的相似语法,而且平均准确率均在96%以上,该方法不需人工干预,可以提高分析效率、减少限制条件、扩大分析范围,并能较为有效地分析出网络协议语法特征.      

基于负载预测的分布式拒绝服务攻击检测方法研究

通过分析分布式拒绝服务攻击(Distributed Denial Of Service,DDOS)的特点,提出一种基于主机负载-并发连接时间序列预测的DDOS攻击检测方法。该方法改进了传统的异常检测方法,对并发连接序列进行预测,以预测值作为对未来时段内主机负载正常状态的估计,增强了正常行为描述的时效性,提高了攻击检测率,并具有低延时特性。该方法涉及两项关键技术:一是预测技术,二是异常判断方法。为提高预测精度,首次将小波分析引入主机负载预测,建立了小波-神经网络预测模型;为提高异常判断准确性,采用了“滑动窗口”方式。实验表明,基于负载预测的DDOS攻击检测优于传统的异常检测方法。