SDN环境下的DDoS攻击检测方案

DDoS攻击(分布式拒绝服务攻击)对于软件定义网络的危害是致命的,如何快速准确地检测出DDoS攻击对于SDN安全至关重要。提出一种SDN(software-define networking)环境下基于广义信息熵和GA-RBFNN(genetic algorithm-radical basis function neural network)的DDoS攻击检测方法。利用熵检测流量,根据划分的阈值把检测结果分为正常,异常和攻击。对于异常的警告,控制器通过提取OpenFlow交换机的8元流量特征,利用GA-RBFNN来检测是否发生DDoS攻击。实验表明,与其他方法相比本方案提高了检测准确率,降低了控制器开销,有较好的综合检测能力。     

抗授权劫持攻击的安全电子交易方案

针对现有的网络交易安伞方案中存在授权与认证分离及与交易相关的敏感操作在复杂、未审计环境下完成等问题,本文提出了一个基于可信计算模块的安全电子交易方案.该方案采用可信设备(如,安全智能于机、安全PDA等)作为安全交易认证与交易授权终端;将交易认证与交易授权绑定,确保安全敏感操作在独立可信强审计计算环境中完成.即使敌手拥有对客户端计算机的完全控制,本方法亦可有效抵抗中间人攻击、浏览器劫持、交易授权劫持、以及keylogger等间谍软件威胁.     

面向用户交互场景的信息欺骗分类及其威胁抑制机制

在信息安全中,用户被视为信息安全的"薄弱环节"。攻击者在用户端系统不断升级软件、安全加固的情况下,仍能充分利用用户的脆弱性,使用户在攻击策略的误导下泄露密码,打开恶意邮件附件或是访问恶意网站,即使是最健壮的系统安全防护机制对此也束手无策。为深入研究这种攻击,本文提出"信息欺骗攻击"的概念,即攻击者操纵用户与桌面及移动端的交互接口,欺骗用户以建立虚假信任,误导用户操作以绕过防御技术,最终危害个人和组织的安全。从信息欺骗攻击的基本模型出发,介绍了社交网络欺骗、网站欺骗、应用欺骗、邮件欺骗4类攻击场景的攻击特征,并揭示了特定场景的攻击与用户交互模式的密切关系;分析了面向不同欺骗场景的威胁抑制机制,总结了其针对不同攻击特征的防御作用。现有威胁抑制方法无法突破用户感知的信息局部性、不对称性以及场景的封闭性。为此,希望从攻击案例数据出发,评估用户交互操作的风险,构建面向特定场景的信息欺骗威胁抑制机制,抑制攻击。     

无线钓鱼接入点攻击与检测技术研究综述

随着城市无线局域网热点在公共场所大规模的部署,无线局域网安全变得尤为突出和重要,其中无线钓鱼接入点(AP:Access Point)攻击是无线网络中严重的安全威胁之一.本文介绍了无线钓鱼AP攻击存在的威胁,详细分析了无线钓鱼AP攻击的基本原理和实现,阐述了无线钓鱼AP攻击主要目的和构造实现方法.基于无线钓鱼AP攻击的基本原理将无线钓鱼攻击实现方式分为被动式攻击和主动式攻击,并分别从物理层和MAC层详细分析了主动式攻击.对现有无线钓鱼AP检测技术:无线端、有线端和混合式三类嗅探检测技术,重点分析了基于802.11特征指纹的检测技术.对未来工作进行了展望,介绍了下一代无线钓鱼AP检测技术的特征.     

Intranet的防御对策

分析了Intranet(企业内部网)目前所面临的各种安全威胁，如病毒、蠕虫、木马、间谍软件等恶意程序，以及信息收集、密码破解、漏洞利用、网络欺骗、拒绝服务攻击(DOS)等攻击方法，并在此基础上提出一种Intranet安全防御模型和相应的应对措施，结合当前新的防御技术，给出一种完整的Intranet安全解决方案，协助内部网络在互联网这个复杂环境中有效防御各种不安全因素以确保自己的安全．     

一种基于带权CAT的DDoS分布式检测方法

针对DCD(distributed change-point detection)方案存在受害端开销大、检测率低等问题,提出了一种基于带权CAT(change aggregation trees)的检测方案.采用分布式分级体系结构,将检测任务分布到互联网源端、中间网络和受害端,实现攻击的早期检测;利用CUSUM算法对微小变化的敏感性,在源端主机和中间网络的路由器处进行基于到达目标数据包数量的检测以及基于超级流聚合变化的检测;受害端进行基于域树权重的榆测.实验和分析表明,CAT方案对UDP攻击的检测率从DCD的最高0.72提高到0.94,TCP攻击检测率也略有提高;网络的通信开销和受害端的存储丌销从o(mnk)降为o(mk),受害端的计算开销从o(mn)降为o(m).系统在实现检测的同时,获得了攻击路径和攻击的准确位置,实现了DDoS攻击的分布式追踪.     

防御DDoS攻击的新过滤PHF模型

在分布式拒绝服务攻击对网络安全的危害日益严重的情况下，在众多的攻击防御技术中，采取路径标识是一种能有效对抗DDoS攻击的技术．而为更有效地防御DDoS攻击，利用Pi方案中，受害主机使用Pi标记对收到的数据包进行过滤的方式，提出了结合Pi标记与跳数的新过滤模型，即受害主机采用〈Pi，HC〉元组识别和过滤攻击包方式．并通过基于真实因特网拓扑的实验，证明PHF模型的防御效果明显优于Pi方案．     

智能网联汽车安全防护技术研究综述

随着移动互联网和工业智能化的快速发展,以智能网联汽车为核心的下一代智能交通系统逐渐深入城市居民生活。然而,该前沿技术在为出行服务带来便利的同时,近年来也逐渐暴露出诸如远程恶意控制车辆、泄露车主个人信息等安全威胁。本文首先介绍智能网联汽车行业下的典型应用场景、调研当前行业中攻击案例。其次,将智能网联汽车安全防护方面划分为车联网安全和车载系统安全,针对以上两个层面存在的主要安全威胁进行分析和总结,并针对性地介绍了安全防护技术的研究现状。最后,本文对智能网联汽车安全防护技术的未来发展方向和研究重点进行了展望。     

嵌入式系统安全综述

针对嵌入式系统面临的安全威胁日益严重的问题,分析了嵌入式系统的特性与脆弱性.从基于硬件的侧信道、硬件木马、错误注入、微探针、硬件逆向工程等攻击和以破坏、篡改、窃取为目的的软件攻击两大层面,对嵌入式系统面临的安全威胁作了细致的阐述.分析了国内外现有的安全对策,并指出了其中的不足之处.基于可信计算思想,从理论研究模型、可信度量、可信报告、资源的可信共享与可信隔离等方面,给出了未来研究的建议.最后,提出了理想的全域联合安全增强方案,并讨论了未来的研究方向.     

基于Tamarin Prover的5G EAP-TLS协议的形式化分析

为了保证5G专用网络中移动设备的通信安全,第三代合作伙伴计划（3rd generation partnership project, 3GPP）提出了5G可扩展认证协议-传输层安全（extensible authentication protocol-transport layer security, EAP-TLS）。然而,现有的针对于5G EAP-TLS协议的研究工作较少且缺乏系统性。因此,对5G EAP-TLS协议进行详细的描述,并对该协议进行全面的形式化建模。对5G规范中涉及的所有协议实体以及证书分发机制进行建模,同时从5G规约中提取并建模了与5G EAPTLS协议相关的安全目标。提出证据搜索策略引导符号分析工具Tamarin Prover进行自动化证据搜索,解决了Tamarin Prover在验证复杂模型时验证过程无法终止的问题,实现了5G EAP-TLS安全目标的自动化验证。通过分析验证结果,发现了5G EAP-TLS协议能够满足机密性目标,但难以满足一些认证性目标,同时,揭示了协议存在拒绝服务（denial of service,DoS）攻击和用户通信数据泄露的隐患。针对...     

蓝牙Mesh配网协议的形式化安全性分析

蓝牙Mesh是一种无线网状网络组网技术。新设备必须经过配网才能加入蓝牙Mesh网络。配网协议的安全性是蓝牙Mesh网络安全性的基础,但目前针对该协议安全性的研究尚不充足,现有的模型无法捕获协议中存在的某些攻击。因此,借助符号模型下的协议分析工具Tamarin Prover对蓝牙Mesh配网协议进行形式化建模,该模型覆盖了所有的配网阶段和方法。同时,借助Tamarin Prover的构建和解构规则以及内置的消息理论,提出了一种在符号模型下建模AES-CMAC原语的新方法,该方法可以准确地描述消息长度为任意块的AES-CMAC函数的性质,从而能对配网过程中的认证阶段进行更细粒度的建模。对该模型的安全属性进行了验证,验证结果表明,该形式化模型可以捕获之前发现的原语误用攻击。此外,借助该形式化模型和验证的结果,提出了针对原语误用攻击的修复方案,并通过形式化的方法验证了该方案的有效性。     

快速密钥交换协议的分析与实现

通过对快速密钥交换协议JFK交换消息的内容和过程的分析,论述了其高效、抗DoS攻击、抗中间人攻击、抗重放攻击、能有效地保护单方身份信息的特点.在redhat linux 9.0上利用套接字编程、多线程技术、openssl函数库实现了JFKr协议,给出了实现程序的框架模型,介绍了各个模块内部的主要细节,最后描述了该程序的测试方法和测试结果.     

基于认证公钥的抗合谋攻击加密方案

针对Gentry基于认证的公钥加密方案不能抵抗拒绝服务攻击和合谋攻击的问题,改进并优化了基于认证公钥加密方案,给出了该方案的安全模型、具体算法和标准模型下安全分析.在该办案中,用户利用第三方对其公钥和/或身份的认证对自选公钥进行签名;在加密消息前加密者将验证接收方对自选公钥的签名;公钥发布者如果没有合法授权将不能给出正确的签名,在保留Gentry方案优势的条件下能拒绝服务攻击和抵抗合谋攻击.     

因特网防御DoS攻击技术评述Ⅰ--攻击分类与特征·包过滤·攻击检测与防御

概述了因特网上DoS攻击的相应分类及基本特征，评述了包过滤、攻击检测及防御技术的最新成果．前一部分介绍了入口过滤、基于路由的过滤网和有效源地址强制协议．后一方面主要讨论了适合于检测攻击包的技术，介绍了新近提出的频谱分析方法和泛滥检测系统．简要评述了已有的防御SYN泛滥攻击的技术措施，介绍了Cisco的TCP拦截技术，提出了改进策略．     

一种应用程序保护模型

分析了主流保护技术的实现原理及其不足,对应用程序的主要威胁源及其主要攻击方式进行了分析,提出了一种应用程序保护模型APM,给出了APM的形式化描述.通过对该模型若干安全性质的论证表明,该模型能有效地对恶意攻击做出实时防御,降低恶意攻击对应用程序的威胁和破坏.     

OAuth 2.0协议在Web部署中的安全性分析与威胁防范

分析了OAuth 2.0协议中两大主流模式的安全机制和实现过程,给出了针对协议中部分敏感数据的威胁模型,针对协议部署过程中常见的安全漏洞提出了访问令牌注入攻击以及针对授权码注入的CSRF攻击的攻击路线,并对若干网站进行测试,结果显示攻击效果良好,验证了攻击方法的有效性,最后提出了相应的防范策略.     

路由协议安全性分析与安全路由协议域研究

随着网络规模以及网络处理速度的飞速增长，链路状态路由协议已成为内部网关路由协议的主流协议，并在网络中广泛部署．但由于缺乏足够的验证机制，路由协议的底层结构极易受到各种各样的攻击．本文先分析了链路状态路由协议在路由过程中存在的威胁，将物理网络划分为虚拟信任路由域VTRD，并以此为基础设计了一种基于VTRD的安全路由协议框架．该框架采用身份验证以及机密性验证的加密信息对路由系统中的网络实体进行验证，从而能够检测和防止某些网络攻击对路由协议产生的威胁．     

基于图像重照明的深度伪造检测躲避方案

现有的深度伪造检测技术并不鲁棒,容易遭受对抗攻击的干扰。为此,提出一种基于图像重照明的鲁棒并且隐蔽的对抗攻击方案,通过估计、分离原始光照,并使用精心设计的对抗光照对原始的输入进行重新渲染,可以有效绕过现有的基于空域、频域和生理信号域等三类常见的检测方法。实验评估了攻击的有效性、对现有检测方法的通用性、针对图像变换的鲁棒性以及视觉质量损失等。实验结果表明,本文方案针对现有的三种深度伪造检测方法,在白盒情况下攻击成功率达到99.6%,在黑盒情况下最优攻击率为69.8%,并可以抵御常见的图像变换的扰动攻击,具有很好的鲁棒性,可以有效地部署在真实环境中。     

电力调度数据网仿真建模及路由协议攻击影响

电力调度数据网的安全是智能电网安全运行的保障.通过仿真分析,可以评价电力调度数据网的安全性能,为部署安全措施和优化网络提供依据.本文在分析网络通信架构与业务特性的基础上,在OPNET仿真平台上对某省电力调度骨干网与变电站内部网络及承载业务进行了建模.模型中拓扑结构、设备链路、VPN(virtual private network)部署等网络配置均基于实际情况.在该模型上,对OSPF(open shortest path first)路由协议攻击进行仿真,研究路由协议攻击对省调中心与地调中心、变电站站控层之间通信时延、业务吞吐量、带宽利用率的变化,总结了不同场景下骨干网路由协议受到攻击后对电力调度数据网的业务传输的影响,揭示了电力调度数据网骨干网路由协议存在的脆弱性,所设计的仿真分析方法和仿真结果可为电力调度数据网运维部门改进网络安全性能参考.     

基于猜谜机制的增强权证防御技术

权证机制能有效地防御DoS攻击,但其新引起的拒绝权证攻击则严重地制约了其防御效果,因此针对此类攻击,提出基于猜谜的增强权证请求机制,如果一旦请求信道带宽被耗尽,权证路由器将实施拥塞猜谜策略,向请求权证的所有源主机发送谜题,要求其必须首先解谜,并将答案附于增强请求包中,经路由器验证后才予转发．仿真试验证明：该机制具有较好的防御效果,即使在恶意权证请求严重泛滥的情况下也能保证合法用户高效地获得权证．