分布式协同关联入侵检测系统及关联语言

提出了一种完全非集中方式，将入侵建模为发生在被保护网络系统中多个节点上的事件序列，部署的各协同关联引擎自动关联入侵证据，从而得到高层的全局告警．本文为这种模式提出了一种基于XML的分布式协同关联入侵检测描述语言．     

一种基于SNMP代理发现机制的三层拓扑发现方法

提出了一种基于SNMP代理发现机制的三层拓扑发现方法，以发现路由器和子网之间的连接关系．该方法包含代理发现、拓扑信息探测、拓扑信息分析3大步骤．给出了代理发现、信息探测的方法及策略，以及拓扑分析算法．分析了3个关键问题并给出了相应的解决方案，即：利用非路由器代理以提高探测结果完整性；利用别名发现等策略剔除冗余信息并提高探测效率；给出了内网和外网定界的策略以提高探测结果的完整性和有效性．针对实际网络的探测结果表明，该方法能够完整准确地发现远程网络的三层拓扑．     

可信计算环境中的数字取证

为了进行可信计算环境中的数字取证调查，提出了一个可信计算取证模型．该模型对传统数字取证模型中的分析流程进行了扩展，增加了意识、授权和计划分析过程；在模型的收集和分析任务过程中引进了扩展的可信计算取证服务，包括：取证密封服务、取证密封数据、取证认证、密钥恢复以及分布式取证服务．利用可信计算取证服务和改进的分析流程能够有效解决可信计算环境中的数字取证调查问题．从可信计算和数字取证技术角度，分析了该模型的取证能力指标．通过比较和评价可知该模型具有较强的取证能力并能够进行分布式取证分析．     

虚拟化系统中的攻击与防护模型研究

针对目前的攻击模型不能充分表达虚拟化系统所面临的威胁,可信基设计忽略虚拟机监控器(virtual machine monitor,VMM)完整性,客户机资源保护不充分等问题,设计了基于协作型VMM的安全模型.采用非对称的地址映射和访问权限使安全部件及监控点隔离于易受感染代码,建立了双系统间引用监控机制验证VMM内存完整性,并根据恶意行为的语义映射在关键路径上保护系统资源.实验结果表明协作型VMM安全模型能够捕获到客户机中完整的信息流,并能准确识别出其中的异常系统调用序列.