【摘 要】
：
网络与科技的高速发展,方便了人们日常的生活工作,但与此同时,部分网络攻击带来的安全问题也越来越多,其中高级持续威胁攻击已成为网络安全最大的威胁之一。高级持续威胁（APT）是指某些组织对特定对象展开的持续有效的攻击活动。这些黑客组织具有较高的专业技术水平,且有足够的资源展开长期攻击。这种攻击不易被察觉,具有极强的针对性,且能绕过常见的安全策略,如防病毒、入侵检测系统等各种主流安全检测技术。现有有效的
论文部分内容阅读
网络与科技的高速发展,方便了人们日常的生活工作,但与此同时,部分网络攻击带来的安全问题也越来越多,其中高级持续威胁攻击已成为网络安全最大的威胁之一。高级持续威胁（APT）是指某些组织对特定对象展开的持续有效的攻击活动。这些黑客组织具有较高的专业技术水平,且有足够的资源展开长期攻击。这种攻击不易被察觉,具有极强的针对性,且能绕过常见的安全策略,如防病毒、入侵检测系统等各种主流安全检测技术。现有有效的方法是通过分析C&C通信期间生成的恶意行为来检测恶意软件。但是,APT恶意软件通常采用低流量攻击模式,在每个攻击步骤中都会混入大量正常流量,以避免病毒检查和查杀。因此,传统的恶意软件检测方法较难及时发现APT恶意软件。但是由于大多数APT攻击都使用DNS来定期定位恶意软件的C&C服务器以进行信息传输,此行为将会在网络流和DNS日志中留下一些记录,这为我们提供了识别APT恶意域的机会。因此本文基于DNS检测恶意流量的相关研究,深入研究APT恶意域攻击特点,提出了一种基于DNS的时间特征和空间特征的检测方法。该检测方法将DNS的请求时间转化为字符串来进行流量的预处理,通过基于后缀树的字符串周期检测算法,提取DNS时间戳的周期置信度作为时间特征;再根据DNS数据包中域名以及服务器IP地址之间的关系生成DNS关联映射图,利用改良后的置信传播算法根据域名知识集,计算未知域名的恶意概率作为空间特征;将两种置信度整合为该域名的特征向量选取LightGBM算法对其进行训练检测。最后,本文采用Contagio等公开数据集以及本人收集的流量组成数据集,对本文提出的检测方法进行检测评估。实验结果显示,本文提出的检测方法与其他方法相比准确率和召回率上都有一定的提高,检测准确率达到96.6%,召回率达到97.2%;而且本文的方法能够处理由于数据包有效载荷独立而导致的加密和混淆流量。
其他文献
随着网络技术的飞速发展,网络空间安全面临着日益严峻的考验。攻击检测作为网络安全领域的一项关键技术,从网络系统中的关键点收集和分析信息,以查看网络中是否存在攻击行为。而图作为计算机科学研究的核心领域,由于其自身结构能够携带大量信息,越来越多地被应用于攻击检测领域。因此,本文对图模型及其相关计算在攻击检测领域的应用进行了研究。首先,本文基于危害指标提出了网络安全对象属性图模型。针对现有网络安全领域图模
人工神经网络是人工智能科学蓬勃发展进程中一个热门的研究领域。脉冲神经网络是一种基于脉冲时序编码的新兴人工神经网络模型,这种以精确脉冲时间进行信息表达的方式比传统的频率编码更能准确解释生物大脑的信息处理机制,且易于硬件实现。但因为脉冲神经网络在信息编码、神经元模型、网络结构等方面都具有鲜明的自身特点,所以无法直接利用传统神经网络中的算法进行模型训练。现在,由于综合高效的学习算法的缺失,脉冲神经网络强
网络性能指标是表征网络运行状态的参数,通常包括时延、丢包率、可用带宽等。网络性能指标测量就是采用特定的测量方法获取网络性能指标,进而为网络行为监控、网络异常发现以及网络故障分析等网络管理提供必要的输入信息。传统网络由于缺乏灵活的控制能力以及基本的网络测量功能,存在测量任务实施复杂度高、测量粒度较粗且准确性低等问题。在可编程网络中,用户能够通过统一的开放接口和编程语言自定义数据分组的处理流程,这样灵
域名系统（Domain Name System,DNS）是互联网的一项基础服务,提供了域名到IP地址的转换。DNS系统设计之初是在可信的环境里运行,但如今互联网环境复杂,使得DNS协议的脆弱性显现出来。因此本文总结了DNS系统的安全问题,大致可以分为两类:一是DNS协议存在的安全漏洞;二是DNS系统结构极度中心化造成的权利滥用风险。针对上述问题,本文提出并仿真实现了一种带取证分析扩展的DNS安全扩
如今,网络已进入千万寻常百姓家,这给人们的生活增添了色彩和便利,另一方面伴着网络模型越来越庞大,多种形式组网如:传感器网、ADHoc网络、天基网络等新出网络的增添,使得拓扑规模变得越来越大、很难去精准获得;网络设备数量很大,组网方式多种多类,接收信息次数变得越来越多等,这些多种状况的凸显,这提升了网络管理者在维护网络正常运行状态的难度。在这种情况下,网络运行态势感知技术应时而生。本文是基于网络运行
云计算时代,云存储越来越成为一种企业基础设施。为了在保障用户数据安全性的同时满足用户的功能需求,一些适用于云计算的密码学协议被提出,比如可搜索加密和代理重加密。当这些密码协议正常工作时,数据安全可以得到保证,但在实践中,运行密码协议的机器本身也可能成为攻击的对象。如果运行密码协议的机器本身被攻击,密码算法被替换,则密码协议将无法保证其安全性。斯诺登事件表明,情报机构可以通过行政权力替换密码算法。因
网络安全的形势日益严峻,安全防御技术意义重大。当前防火墙技术、入侵检测技术及防病毒技术等防御技术通常是针对攻击已经发生之后的反应,属于被动防御,具有防御滞后、难以防御未知攻击等局限性。因此,主动防御技术应运而生,其典型代表就是蜜罐以及由多个蜜罐组成的蜜网。然而,传统蜜网通常缺乏内部交流、过度依赖数据中心,在大规模网络防御中存在较大的局限性。目前,针对该缺点,已经有学者研究并提出去中心化的分布式蜜网
随着网络空间的发展,越来越多的Web服务在网络中出现。Web服务在给人们生活带来便利的同时,也带来许多安全隐患。如今越来越多的Web服务遭受到黑客的针对性攻击,许多网站运营商和用户遭受了很大损失。为了维护网络空间安全,所以对网络空间中的Web服务进行安全性检测迫在眉睫。目前,传统的Web服务安全性检测存在如下缺陷:一、Web服务的识别依赖于大量人工的辅助,收集构造完备的指纹库,才能实现Web服务的
网络带来的便利使得人们的生活高度依赖各种网络应用,一旦网络异常会给人们带来诸多影响。因此实时掌控网络运行状态,建立网络运行态势感知系统尤为重要。网络运行态势感知是将与网络运行相关特征数据进行收集、评估以及预测的过程,据结果做出如调整网络资源配置等决策来保证网络正常高效地运行。网络数据集具有无先验性、海量性等特征,网络状态评估具有模糊性的特点且态势预测需要具备实时性。模糊C均值（FCM）算法能够发掘
随着互联网技术的不断发展,随之而来的网络攻击技术不断地对网络安全形势造成威胁。传统的网络流量监控方式对于当前不断提升的网络带宽来说难以得到满足。本文提出了基于DPDK框架的流量实时重组及存储技术方案,弥补了对于传统流量重组技术在实时性方面的不足;同时本文使用小文件合并以及对文件进行预读的方法优化了流量文件存储时的读写性能。其中所提出的流量实时重组方案以及对pcap文件的存储方案能够为后续的流量审计