基于反馈控制机制的多阶段攻击检测技术研究

论文摘要

目前较为普遍存在的DDOS、木马攻击等攻击都具有多阶段特征,但针对这些攻击的检测技术主要针对攻击的某一个阶段来检测,误报率较高,很少考虑到攻击的多阶段特征。而这些攻击所造成的危害越来越大,如何对具有多阶段特征的攻击进行有效地检测,是一个较为棘手的问题。本文针对很多攻击的多阶段特性,将反馈控制机制应用于多阶段攻击的检测中,提出了一种用于多阶段攻击检测的新方法,并针对一种典型攻击进行了实验。本文的主要工作如下:1.对现有的多阶段攻击检测方法进行分析和比较,指出现有针对多阶段攻击的检测方法的缺点,并提出解决对策。2.在对反馈控制机制深入研究的基础上,将反馈控制机制应用于多阶段攻击的检测中,提出了基于反馈控制机制(FBCM,FeedBack control Mechanism)的多阶段攻击检测模型,该模型较好地解决了多阶段攻击检测中存在的误报率问题。3.针对多阶段攻击的马氏性特征,提出了一种基于马尔可夫链的多阶段攻击检测效果分析方法,并用此方法分析了基于FBCM的检测模型,将该模型用于具有马氏性特征的多阶段攻击的检测时,其效果要优于普通检测方法。4.采用基于FBCM的检测模型,对一种典型的多阶段攻击——网络蠕虫攻击进行攻击检测,并对蠕虫的多阶段特征进行分析,指出目前检测蠕虫的方法存在的缺点,最后针对蠕虫的不同阶段给出检测方法,并对该模型与基于阈值的检测法应用于蠕虫检测做了实验对数据与结果进行了分析。

论文目录

• 摘要
• Abstract
• 第一章 绪论
• 1.1 课题背景
• 1.2 研究内容
• 1.3 本文的结构安排
• 第二章 面向多阶段攻击的检测技术综述
• 2.1 概述
• 2.2 多阶段攻击过程
• 2.2.1 典型攻击的多阶段攻击过程
• 2.2.2 多阶段攻击的一般过程
• 2.3 多阶段攻击检测技术
• 2.3.1 典型多阶段攻击的检测方法及其效果分析
• 2.3.2 基于状态转换分析的检测方法
• 2.4 多阶段攻击检测存在问题及对策
• 2.4.1 存在问题
• 2.4.2 解决对策
• 2.5 本章小结
• 第三章 基于反馈控制机制的多阶段攻击检测模型
• 3.1 反馈控制机制理论基础
• 3.2 基于FBCM的多阶段攻击检测模型
• 3.2.1 基于FBCM的检测模型
• 3.2.2 攻击阶段状态评估
• 3.2.3 攻击响应策略选择
• 3.2.4 模型的适用条件
• 3.3 模型反馈控制流程
• 3.4 模型构建过程
• 3.4.1 状态转移矩阵与观察概率矩阵生成
• 3.4.2 代价矩阵的生成
• 3.5 多阶段攻击的检测误报率分析
• 3.5.1 状态估计值分析前提假设
• 3.5.2 攻击阶段状态估计
• 3.5.3 误报率分析
• 3.6 本章小结
• 第四章 基于FBCM检测模型的检测效果分析
• 4.1 多阶段攻击马氏性分析
• 4.2 马氏的理论依据
• 4.3 基于马氏链的检测效果分析方法
• 4.3.1 检测效果分析方法相关定义
• 4.3.2 检测效果分析过程
• 4.4 基于FBCM检测模型效果分析
• 4.4.1 基于FBCM的检测方法效果分析
• 4.4.2 普通检测方法效果分析
• 4.4.3 两种检测方法对比
• 4.5 本章小结
• 第五章 针对典型多阶段攻击—蠕虫攻击的检测研究
• 5.1 概述
• 5.2 典型蠕虫攻击分析
• 5.2.1 冲击波
• 5.2.2 震荡波
• 5.3 蠕虫攻击阶段提取
• 5.3.1 主功能模块
• 5.3.2 辅助功能模块
• 5.3.3 蠕虫攻击阶段性分析
• 5.4 针对蠕虫攻击的传统安全解决办法
• 5.5 基于FBCM的蠕虫检测方法
• 5.5.1 基于FBCM的蠕虫检测模型
• 5.5.2 阶段一检测—数据包中shellcode检测
• 5.5.3 阶段二检测—特权进程溢出检测
• 5.5.4 阶段三检测—系统异常进程检测
• 5.5.5 阶段四检测—蠕虫自我繁殖检测
• 5.6 实验过程及实验数据分析
• 5.6.1 实验环境
• 5.6.2 攻击状态判断及误报率分析
• 5.6.3 模型检测有效性分析
• 5.7 本章小结
• 第六章 结束语
• 6.1 全文工作总结
• 6.2 有待进一步研究的问题
• 参考文献
• 作者简历 攻读硕士学位期间完成的主要工作
• 致谢