基于节点信任值的WSNs入侵检测方案

为了保证无线传感器网络(wireless sensor network,WSNs)内部节点入侵检测中具有较高的检测率和较低的误检率,提出了一种基于节点信任值的层簇式WSNs入侵检测方案。该方案通过分析WSNs中典型网络攻击特征,定义了节点的多种典型信任属性,并利用马氏距离判断节点信任属性是否异常来获知节点是否存在异常,最后利用贝塔分布理论和异常折扣因子相结合实现节点信任值的计算和更新,从而实现节点入侵检测判断。经仿真,结果表明该方案可实现常见入侵的检测,具有较高的检测率和较低的误检率。     

基于攻击者能力状态的入侵建模方法

为解决反应式容忍入侵系统中入侵模型的构建问题,提出了一个基于攻击者能力的入侵模型及相应的模型构建与描述算法。该模型以攻击者对系统操控能力的状态转移过程来描述入侵,首先在警报关联过程中发现入侵者的攻击逻辑并据此构建元攻击模型,然后将元攻击模型转化为一种简单的覆盖形式,并证明了元攻击、覆盖与攻击模型三者之间的一一对应关系,从理论上获得了该入侵模型的存在性与唯一性证明,提出了自动描述该模型的TIBC算法。最后,在警报关联系统中测试了该入侵模型及其构建与描述算法,获得了较高的识别率与较低的虚警率。     

基于ADASYN与改进残差网络的入侵流量检测识别

针对现有入侵流量检测模型分类准确率低、小样本特征提取不足等问题, 提出了一种基于自适应合成采样和Inception-Resnet模块的改进残差网络算法。该算法能够对不平衡数据集进行采样优化, 有效提升模型的小样本特征提取能力。首先, 通过对不平衡的数据训练集进行过采样改善数据分布, 然后对非数据部分进行独热编码处理并与数据部分整合, 降低预处理复杂度, 最后利用改进残差网络模型进行数据训练, 并进行性能评估和算法效能对比。实验结果表明, 改进残差网络模型对入侵流量的检测准确率在多分类和二分类情况下分别达到89.40%和91.88%。相比于经典深度学习算法, 改进残差网络模型的准确率更高, 误报率更低, 具备较高的可靠性和工程应用价值。     

基于模糊聚类分析的入侵检测方法

提出了一种新的基于模糊聚类分析的入侵检测数据处理方法,该方法能够较为准确地区分正常和入侵进程,具有计算速度快、耗用资源少等特点。通过使用模糊聚类,还可以提炼出精简准确的分类规则。由于对数据中的孤立点采用了特殊的处理方法,因此对产生聚类规则的训练数据库进行添加和更新,该检测方法具有较强的可扩展性。通过仿真实验证明了该算法的有效性。     

基于LMI的不确定系统鲁棒故障检测观测器设计

针对系统模型同时具有未知输入扰动和模型不确定性,提出了一种鲁棒故障检测观测器的设计方法。在不考虑系统模型误差的情况下,为降低设计的保守性,利用描述残差对故障灵敏度的H-指数和表示残差对未知输入鲁棒性的H∞范数以及一种新的迭代线性矩阵不等式(linear matrix inequality,LMI)算法解决H∞/H-的优化问题,设计了参考残差模型和自适应门限,并将观测器设计转化为LMI表述的标准H∞模型匹配问题,减小故障检测过程中误报、漏报率。仿真结果表明,设计的故障检测观测器对故障的灵敏度高,对不确定因素的鲁棒性强。     

An automatic scheme to construct Snort rules from honeypots data

1.INTRODUCTION Intrusiondetectioncanbebroadlydividedintotwo categories[1]:anomalydetectionandmisusedetec tion.Anomalydetectionsystemsdetectdeviationsin activityfromnormalprofiles.References[1～3]give anexampleofthisapproach.Anomalydetectioncan beusedtodetectunknownattacks,butitcannotde tectintrusionsaccuratelyandmayinvolveacertain rateoffalsealarms.Whilemisusedetectionsystems detectattacksbyfindingtheactivitiesmatchedwith attacksignatures,whicharedrawnfromknownat tacksandstoredinadatabase…     

未知强杂波下基于DP-TBD的雷达弱目标检测

实测回波的弱目标检测往往面临复杂杂波环境,如信杂比过低、难以获取信杂比与杂波分布等先验信息,此时基于杂波建模的弱目标检测前跟踪(track-before-detect,TBD)方法会遇到困难。针对上述问题,本文提出一种新的用于未知强杂波实测数据的弱目标检测算法。依据未知分布、边缘环境等特点通过改进的最大值恒虚警进行杂波预处理,通过压缩多普勒-距离二维数据避免多帧积累使杂波在同一分辨单元产生强度叠加,最后在时间-距离空间改进基于动态规划的TBD算法解决多帧联合后杂波在不同距离单元的范围扩展,消除虚警。实验结果表明,本文算法相比常规方法具有更高的检测概率及更低的估计误差。     

面向入侵检测系统的Deep Belief Nets模型

连续的网络流量会导致海量数据问题,这为入侵检测提出了新的挑战。为此,提出一种面向入侵检测系统的深度信念网络(deep belief nets oriented to the intrusion detection system, DBN-IDS）模型。首先,通过无监督的、贪婪的算法自底向上逐层训练每一个受限玻尔兹曼机(restricted Boltzmann machine,RBM)网络,使得大量高维、非线性的无标签数据映射为最优的低维表示；然后利用带标签数据被附加到顶层,通过反向传播(back-propagation,BP）算法自顶向下有监督地对RBM网络输出的低维表示进行分类,并同时对RBM网络进行微调；最后,利用NSL-KDD数据集对模型参数和性能进行了深入的分析。实验结果表明,DBN-IDS分类效果优于支持向量机(support vector machine,SVM)和神经网络(neural network，NN),适用于高维、非线性的海量入侵数据的分类处理。     

基于SSC-tree流聚类的入侵检测算法

由于数据流具有快速、无限、突发等特性,实现高速网络下的实时入侵检测已成为一个难题。设计一种维持数据流概要特征的相似搜索聚类树(similarity search cluster-tree, SSC-tree)结构,在此基础上提出一种基于SSC-tree的流聚类算法用于高速网络的入侵检测。为适应高速、突发到达的数据流,算法采用了链式缓存、捎带处理和局部聚类策略。SSC-tree中的链式缓存区用于临时存放数据流突发时算法不能及时处理的数据对象,缓冲区中的内容随后被捎带处理。在高速数据流未插入SSC-tree参与全局聚类之前,利用局部聚类产生微簇来适应高速流的到达。实验结果表明,该算法具有良好的适用性,能够在高速网络环境下产生较好的聚类精度,有效实现高速网络环境下的入侵检测。     

基于IDEAS的联合论证元模型

为统一描述联合论证模式中体系结构数据,基于《国际国防企业体系结构规范》(international defense enterprise architecture specification, IDEAS)提出了联合论证元模型(joint demonstration meta-model, JDM2)。首先,介绍了业务对象参考本体(business object reference ontology, BORO)、IDEAS和国防部元模型(department of defense meta-model,DM2),从设计机理方面剖析了DM2不适用于描述联合论证内容的根本原因以及DM2概念数据模型(conceptual data model,CDM)、逻辑数据模型(logical data model, LDM)和物理交换规范(physical exchange schema, PES)3层结构的优点;然后,借鉴本体理论和DM2设计思想基于联合论证空间提出了JDM2中的概念数据模型;在概念数据模型基础上基于IDEAS规范构建了JDM2中的逻辑数据模型。最后通过实例说明了JDM2的可行性。     

Detecting network intrusions by data mining and variable-length sequence pattern matching

Anomaly detection has been an active research topic in the field of network intrusion detection for many years. A novel method is presented for anomaly detection based on system calls into the kernels of Unix or Linux systems. The method uses the data mining technique to model the normal behavior of a privileged program and uses a variable-length pattern matching algorithm to perform the comparison of the current behavior and historic normal behavior, which is more suitable for this problem than the fixed-length pattern matching algorithm proposed by Forrest et al. At the detection stage, the particularity of the audit data is taken into account, and two alternative schemes could be used to distinguish between normalities and intrusions. The method gives attention to both computational efficiency and detection accuracy and is especially applicable for on-line detection. The performance of the method is evaluated using the typical testing data set, and the results show that it is significantly better than the anomaly detection method based on hidden Markov models proposed by Yan et al. and the method based on fixed-length patterns proposed by Forrest and Hofmeyr. The novel method has been applied to practical hosted-based intrusion detection systems and achieved high detection performance.     

基于神经网络的异常入侵检测系统

针对神经网络检测器本身的网络结构和算法进行改造可获得好的性能,但无法从根本上解决误报率和漏报率等问题,通过对程序行为的深入研究,对程序行为进行动态建模,提出了一个应用BP神经网络检测器针对程序行为异常的入侵检测模型,从而更准确地发现程序行为的异常。通过Apache服务器为例论证其可行性。     

基于离群聚类的异常入侵检测研究

提出了一种离群聚类算法,并分析了算法抗例外点干扰的能力.离群数据是远离其它数据的数据,网络中异常入侵数据的实质就是离群数据,因为异常入侵记录往往呈现小样本和多变性的特点,并且偏离正常网络连接记录.通过定义新的异构样本的相异性度量方法,提出了一种基于离群聚类无监督学习的异常入侵检测方法.仿真实验表明了方法的有效性和实用性,在总检测率方面优于文献中已有的其它方法.     

基于引力的入侵检测方法

将万有引力的思想引入聚类分析，提出一种基于引力的聚类方法和度量聚类异常程度的引力因子概念，同时给出了一种计算聚类闽值的简单而有效的方法，在此基础上提出一种新的入侵检测方法GBID，GBID关于数据库的大小、属性个数具有近似线性时间复杂度，这使得GBID具有好的扩展性。在KDDCUP99数据集上的测试结果表明，GBID在准确性方面优于文献中已有无指导入侵检测方法，且对新的入侵有一定的检测能力。     

一种基于均值Hamming距离的异常入侵检测方法

对进程级的入侵检测技术进行了研究,提出了一种基于均值Hamming距离的异常入侵检测方法—AHDAD,监控对象为特权进程的系统调用序列,通过计算偏离量检测入侵。AHDAD算法简单、检测准确率高、时间开销小,使实时入侵检测成为可能。最后,用原型实验证实了方法的可行性。     

基于背景建模的动态目标检测算法的研究与仿真

针对静态摄像机条件下的视频监控问题，提出了一种基于背景建模的运动目标检测算法。首先利用统计的方法建立了基于颜色和颜色梯度的背景模型，并实时地对背景模型进行更新，最后将这两种背景模型综合考虑对目标进行有效检测。该算法较好地解决了背景模型的提取、更新、背景扰动、外界光照变化等问题。实验结果证明，该算法对固定场景下运动目标的检测是快速有效的。     

Practical integrated navigation fault detection algorithm based on sequential hypothesis testing

In detecting system fault algorithms,the false alarm rate and undectect rate generated by residual Chi-square test can affect the stability of filters.The paper proposes a fault detection algorithm based on sequential residual Chi-square test and applies to fault detection of an integrated navigation system.The simulation result shows that the algorithm can accurately detect the fault information of global positioning system(GPS),eliminate the influence of false alarm and missed detection on filter,and enhance fault tolerance of integrated navigation systems.     

基于核神经气聚类的入侵报警分析

利用无监督的核神经气聚类方法分析入侵报警数据,并针对核神经气聚类方法运行时间较长的缺点作了改进,加快了学习过程的速度而不影响其收敛性。利用改进的核神经气聚类方法对真正报警数据进行聚类,获得了各个神经元被作为获胜神经元的次数分布图,并根据此分布图获得报警的判别规则以区分误报警和真报警。实验采用网络入侵检测器Snort在实验环境下获得的攻击和正常数据产生的报警数据集,测试结果证明了提出的方法具有良好的性能:当滑窗长度为10时,在漏报增加率约为6%的代价下可以去除约81%的误报警。     

Distributed intrusion detection for mobile ad hoc networks

Mobile ad hoc networking(MANET)has become an exciting and important technology in recent years,because of the rapid proliferation of wireless devices.Mobile ad hoc networks is highly vulnerable to attacks due to the open medium,dynamically changing network topology,cooperative algorithms,and lack of centralized monitoring and management point.The traditional way of protecting networks with firewalls and encryption software is no longer sufficient and effective for those features.A distributed intrusion detection approach based on timed automata is given.A cluster-based detection scheme is presented,where periodically a node is elected as the monitor node for a cluster.These monitor nodes can not only make local intrusion detection decisions,but also cooperatively take part in global intrusion detection.And then the timed automata is constructed by the way of manually abstracting the correct behaviours of the node according to the routing protocol of dynamic source routing(DSR).The monitor nodes can verify the behaviour of every nodes by timed automata,and validly detect real-time attacks without signatures of intrusion or trained data.Compared with the architecture where each node is its own IDS agent,the approach is much more efficient while maintaining the same level of effectiveness.Finally,the intrusion detection method is evaluated through simulation experiments.     

一种基于混合分类器的异常检测模型

针对网络的异常检测方法对未知攻击难以提供更多有用信息的缺点,提出一种基于分类器的异常检测模型。模型首先采用支持向量机对网络连接进行异常检测,然后将检测获得的异常作为输入进入聚类模块以得到其更多信息,其中聚类模块由自组织映射算法与信息获取算法共同完成。通过对检测到的异常进行信息获取的方法可以获得未知入侵的更多有价值的信息。最后应用kddcup99数据集进行仿真实验,实验结果表明,该检测模型具有较好的检测率和较低的误报率,并且该模型对于获得未知入侵的更多信息是有效的。