学位论文 > 优秀研究生学位论文题录展示

基于程序执行流构建入侵模型的研究

作　者: 张宝坤
导　师: 田园
学　校: 大连理工大学
专　业: 计算机应用技术
关键词: 网络入侵模型重构执行流
分类号: TP393.08
类　型: 硕士论文
年　份: 2009年
下　载: 56次
引　用: 0次
阅　读: 论文下载

内容摘要

对网络入侵过程的自动重构无论对可信软件在不可靠/不安全环境中的演化、保护还是对恶意环境的分析与检测都具有重要用途。由于入侵过程日趋复杂,自动重构与其入侵机制相一致的动态攻击模型对实现可信软件的保护和安全演化尤为重要。目前被广泛应用的网络入侵模型中大部分属静态模型,它们都有这样的特点:主要针对入侵特例,例如典型的特征(signature)匹配模型,对变体入侵需要重新建模,适应性差。所表达的入侵特征上下文无关,例如绝大多数消息特征仅针对单一消息(如一个完整的IP分组),难以准确表达出那些分步骤实施入侵的复杂的动态入侵过程。事实上,目前应用的大多数入侵模型等价于正规表达式,由此不难看出其能力上的局限。绝大多数模型的建模依据是入侵消息流本身,很少同时考虑受害程序(在被入侵期间的)行为,使这类模型所表达的入侵特征局限于所观测到的会话实例,难以用来识别相近的入侵行为,这些相近的入侵行为可能有很不相同的消息特征但却有完全相同的攻击目的。绝大部分实用的入侵模型仍需分析人员手工建立,因此需要实质性地发展准确而有效的自动建模技术,特别是在入侵手段快速扩散的情况下尤其必要。本文建立一种重构网络入侵模型的有效方法,依据入侵实例中所记录的入侵过程的消息流及受害软件实际执行的指令流,通过反编译并应用改进的形式分析及验证技术构建出充分一般的入侵模型。与目前绝大多数基于独立消息特征(signature)的入侵模型不同,该模型能精确给出恶意消息上下文之间的关联模式,表达出入侵过程的动态特征,效率可行并具有逻辑上可证明的精确性。在详细阐述方法的理论基础之后,也讨论了针对安全演化的应用。

全文目录

摘要  4-5
Abstract  5-8
1 绪论  8-15
  1.1 选题背景及依据  8-9
  1.2 入侵检测模型的发展概述  9-12
    1.2.1 通用入侵检测模型  10
    1.2.2 层次化入侵检测模型  10-11
    1.2.3 智能入侵检测模型  11-12
    1.2.4 其他入侵检测模型  12
  1.3 本文主要工作  12-13
  1.4 相近的研究工作  13-14
  1.5 论文的组织结构  14-15
2 网络入侵模型  15-28
  2.1 常用的攻击模型  15-19
    2.1.1 Attack Tree模型  15-16
    2.1.2 基于Attack Net的攻击模型  16-17
    2.1.3 基于系统状态集合的攻击模型  17-18
    2.1.4 其他类型攻击模型  18-19
  2.2 基于TIBC描述的一种构建入侵模型的关联方法  19-22
  2.3 基于DFA的入侵建模方法研究  22-25
  2.4 M-FSM为模型的网络攻击分析方法  25-28
3 基于执行流分析的建模方法  28-34
  3.1 问题和模型定义  28-29
  3.2 求解方法  29-32
  3.3 对方法的讨论  32-34
4 重构模型的具体技术  34-39
  4.1 GCL语言及WP-条件的计算规则  34-35
  4.2 对函数调用的间接处理  35-36
  4.3 对模型冗余状态的后处理  36-39
5 新的建模方法的应用  39-42
  5.1 与NIDS集成以构造具抗入侵演化能力的安全系统  39-40
  5.2 与NIDS集成以构造具抗入侵演化能力的安全系统  40-42
6 新模型在入侵检测系统中的实验评估  42-52
  6.1 评估基本符号和定义  43-44
  6.2 侵检测系统评估方法分析  44-47
    6.2.1 ROC曲线  44
    6.2.2 贝叶斯检测率  44-45
    6.2.3 检测期望值  45-46
    6.2.4 检测量C_(ID)  46-47
  6.3 IDS的性能指标  47-49
  6.4 实验分析  49-52
    6.4.1 测试数据  49
    6.4.2 性能比较和分析  49-52
结论  52-53
参考文献  53-57
致谢  57-58

基于程序执行流构建入侵模型的研究

内容摘要

全文目录

相似论文