An automatic scheme to construct Snort rules from honeypots data

A scheme to construct signatures automatically for Snort from the data captured by honeypots is presented. With this scheme intrusion detection systems can be quickly updated to detect new intrusions soon when happen. The idea is based on the observation that any traffic to and from honeypots represents abnormal activities, so data patterns extracted from these packets can be used by misuse detection system to identify new attacks. The algorithm of constructing rules is discussed. Experiment illustrates the effectiveness of the scheme.

Honeypot技术及其应用研究综述

近年来,Honeypot技术的研究引起了人们很大的关注,它是一种应用欺骗思想的主动防御技术.Honeypot技术已经在安全领域得到了大量的应用,体现出了其独特的价值和优势.本文介绍Honeypot的研究现状及其关键技术,着重介绍Honeypot的主要应用领域及研究进展.介绍Honeypot三种主要的实现形式,并提出按照服务方式分类的方法,比较各类Honeypot的优缺点以及探讨Honeypot技术存在的问题和发展趋势.

入侵检测系统的规则研究与基于机器学习的入侵检测系统模型

入侵检测系统(IDS)分为异常检测模型和误用检测模型。异常检测模型首先总结正常操作应该具有的特征,得出正常操作的模型,对后续的操作进行监视,一旦发现偏离正常统计学意义上的操作模式,即进行报警。误用检测模型是收集入侵检测行为的特征,建立相关的规则库,在后续的检测过程中,将收集到的数据与规则库中的特征代码进行比较,得出是否是入侵的结论。本文主要研究了入侵检测系统中的规则的建立,并通过在基于误用检测的Snort入侵检测系统中增加一个规则学习模块——LERAD,提出了一个基于机器学习的入侵检测系统模型。

一个基于Web的入侵检测系统设计与实现

入侵检测是重要的网络安全手段,它能实时检测网络信息,并能对入侵行为做出及时的响应。设计并实现了一个基于Web的入侵检测系统,它基于Web浏览器运行的,能将报警日志信息存储到关系数据库中,并以图形化的方式提供给用户,为用户查看、检索和管理日志数据提供了方便,且具有操作简单、界面友好、配置灵活等特点。

基于CBR技术的入侵检测系统研究

目前,成熟的商用入侵检测系统都是基于特征或者规则的精确匹配,如果攻击模式过于特殊或者攻击者采用一些躲避检测的手段,就容易产生误报或漏报,从而降低入侵检测系统的准确性。针对当前入侵检测系统存在的缺陷,提出了一种基于案例推理技术(Case-Based Reasoning,CBR)的入侵检测系统模型,并在该模型基础上提出了基于Snort的预处理模型以避免推理产生的系统资源过度消耗问题;提出了基于分层结构的案例库维护模型以解决案例质量问题和访问效率问题;设计了一种基于变权值的CBR引擎搜索匹配算法以提高搜索精度。仿真实验证明了上述系统可以有效地解决躲避攻击问题,其检测正确率较传统系统有所改善。