基于蜜罐技术的攻击特征提取

论文摘要

随着Internet的快速发展,网络安全问题也日益严重,新攻击层出不穷。怎样面对这些新攻击已经成为网络安全的一个研究重点。现有的防御黑客攻击的措施主要是基于已知的事实和攻击模式的入侵检测系统,其防护能力很大程度上取决于特征库中特征码的数量和质量。所以,如何快速提取出攻击特征码并将其加入入侵检测系统中,是面对新攻击最重要的方法。当前,那种依靠网络安全专家以事后分析的方式来提取特征码的方法已经无法适应现在的网络环境了。人工提取特征码的缺点是过程长,速度慢。攻击特征码自动提取技术就是为了在没有人工帮助的情况下,快速提取出新攻击的特征。因此,特征自动提取技术具有非常重要的实际意义。通过对蜜罐和蜜网技术的研究,依据它们捕获数据价值高的特点,本文设计了一种基于蜜网的攻击特征提取模型,分析和实现了该模型包括的蜜网系统、数据采集、数据处理和特征码提取四个模块的基本功能。此模型利用虚拟机软件VMWare实现了一个虚拟蜜网系统,综合了虚拟蜜网的优势,利用此虚拟蜜网引诱入侵者,然后利用工具TCPdump和Sebek分别捕获网络流数据和系统内核级数据,网络数据可以用来分析攻击特征,系统数据可以用来分析黑客的行为。模型还实现了对捕获的网络数据进行协议分析,得到数据的有效载荷,将处理后得到的攻击数据样本统一存储在MySQL中,利于对数据的分析。最后在特征码提取上提出了一种迭代LCS算法,并通过实验验证了此算法的有效性。

论文目录

• 摘要
• Abstract
• 1 绪论
• 1.1 选题的背景和意义
• 1.2 论文的研究工作
• 1.3 论文的章节安排
• 2 蜜罐技术与特征提取概述
• 2.1 蜜罐honeypot
• 2.1.1 蜜罐的定义
• 2.1.2 蜜罐的作用
• 2.1.3 蜜罐的分类
• 2.2 蜜网honeynet
• 2.2.1 VMware 技术
• 2.2.2 虚拟蜜网
• 2.2.3 虚拟蜜网的分类
• 2.3 蜜网关键技术
• 2.3.1 数据控制技术
• 2.3.2 数据捕获技术
• 2.3.3 数据分析技术
• 2.4 攻击特征自动提取研究现状
• 2.4.1 Honeycomb
• 2.4.2 Autograph
• 2.4.3 EarlyBird
• 2.4.4 Polygraph
• 2.4.5 Hamsa
• 2.4.6 PAYL
• 2.4.7 Nemean
• 2.4.8 Vigilante
• 2.5 本章小结
• 3 基于蜜网的攻击特征提取模型
• 3.1 AGSSH 结构
• 3.2 虚拟蜜网系统
• 3.3 风险控制
• 3.4 数据采集
• 3.4.1 TCPdump 采集数据
• 3.4.2 Sebek 采集数据
• 3.5 数据处理
• 3.5.1 TCP/IP 协议模型
• 3.5.2 协议分析
• 3.5.3 数据存储
• 3.6 特征码提取
• 3.6.1 特征码的定义
• 3.6.2 现有的特征提取算法分析
• 3.6.3 特征提取算法比较分析
• 3.7 AGSSH 模型优势
• 3.8 本章小结
• 4 基于迭代 LCS 算法的特征提取
• 4.1 LCS 算法
• 4.2 迭代 LCS 算法
• 4.3 实验及分析
• 4.3.1 病毒攻击实验
• 4.3.2 实验结果分析
• 4.4 本章小结
• 5 结论
• 参考文献
• 致谢
• 在读期间公开发表论文