基本信息
- 項目名稱：
- 浮云系統(tǒng)
- 小類：
- 信息技術(shù)
- 大類：
- 科技發(fā)明制作A類
- 簡介：
- 本作品通過分析提取常見木馬的在不同通信階段的行為特征，提出通用性較強的隱蔽通信行為檢測方法，開發(fā)具有較低虛警率和漏報率，且計算復雜度滿足實際應(yīng)用需求的網(wǎng)絡(luò)木馬檢測系統(tǒng)。本作品不僅可以對已知木馬進行有效檢測，還對變種木馬、變形木馬和加密木馬具有較強的檢測能力。
- 詳細介紹：
- 近年來，借助木馬工具的網(wǎng)絡(luò)竊密案件不斷發(fā)生，本作品設(shè)計的目的是通過在網(wǎng)絡(luò)端檢測木馬、木馬變種和未知木馬來提高關(guān)鍵網(wǎng)絡(luò)的安全性，可用于網(wǎng)絡(luò)安全管理和網(wǎng)絡(luò)失竊密行為的取證，“讓什么木馬都變成浮云。” 本作品的基本思路是通過分析提取常見木馬的在不同通信階段的行為特征，提出通用性較強的隱蔽通信行為檢測方法，開發(fā)具有較低虛警率和漏報率，且計算復雜度滿足實際應(yīng)用需求的網(wǎng)絡(luò)木馬檢測系統(tǒng)。不僅可以對已知木馬進行有效檢測，還對變種木馬、變形木馬和加密木馬具有較強的檢測能力。 主要采用如下技術(shù)： （1）基于通信行為特征的木馬檢測技術(shù) 現(xiàn)有的木馬檢測技術(shù)主要采用特征碼匹配技術(shù)，本作品主要采用基于通信行為特征分析的檢測技術(shù)。相較于基于特征碼匹配的檢測技術(shù)，基于通信行為特征分析的檢測技術(shù)在時效性和擴展性方面具有明顯優(yōu)勢，有利于發(fā)現(xiàn)潛在的、未知的網(wǎng)絡(luò)竊密行為和威脅，具有更廣的應(yīng)用前景。 （2）基于時頻分析的通信行為特征提取 現(xiàn)有對木馬通信行為的分析均采用傳統(tǒng)概率統(tǒng)計方法，本作品則提出新的時頻分析方法對木馬通信行為進行分析，并提取有效的檢測特征。通過考察木馬通信行為在頻域上的信號特性，獲取更有利于檢測木馬通信的行為特征。其中，基于小波變換思想構(gòu)造了快速的二階差分特征，解決了木馬通信變長度心跳行為的檢測難題。 （3）低計算復雜度的木馬通信行為檢測方法 為滿足實際應(yīng)用中對網(wǎng)絡(luò)數(shù)據(jù)處理速度的要求，本作品在設(shè)計過程中充分考慮了計算復雜度因素。在網(wǎng)絡(luò)會話重組階段，拋棄傳統(tǒng)的鏈表式會話提取算法，專門設(shè)計了基于數(shù)組鏈表的快速會話提取算法。在通信行為檢測特征提取階段，篩選出分類性能優(yōu)良且計算復雜度不超過線性對數(shù)級的通信行為特征。通過引入高效的C4.5決策樹分類算法作為訓練和分類器，進一步降低了檢測系統(tǒng)的計算開銷。
作品圖片
作品專業(yè)信息
設(shè)計、發(fā)明的目的和基本思路、創(chuàng)新點、技術(shù)關(guān)鍵和主要技術(shù)指標
- 近年來，借助木馬工具的網(wǎng)絡(luò)竊密案件不斷發(fā)生，本作品(“浮云”系統(tǒng))設(shè)計的目的是通過在網(wǎng)絡(luò)端檢測木馬、木馬變種和未知木馬來提高關(guān)鍵網(wǎng)絡(luò)的安全性，可用于網(wǎng)絡(luò)安全管理和網(wǎng)絡(luò)失竊密行為的取證，“讓什么木馬都變成浮云。” 本作品的基本思路是通過分析提取常見木馬的在不同通信階段的行為特征，提出通用性較強的隱蔽通信行為檢測方法，開發(fā)具有較低虛警率和漏報率，且計算復雜度滿足實際應(yīng)用需求的網(wǎng)絡(luò)木馬檢測系統(tǒng)。 主要創(chuàng)新點： （1）基于通信行為特征的木馬檢測技術(shù) （2）基于時頻分析的通信行為特征提取 （3）低計算復雜度的木馬通信行為檢測方法 技術(shù)關(guān)鍵： 本作品通過對木馬的建立連接、保持連接無操作和交互操作等三個不同階段分別進行分析，提取針對性較強的行為特征屬性用于木馬通信行為檢測。在主要技術(shù)上，除了結(jié)合傳統(tǒng)的數(shù)據(jù)挖掘和流量分析技術(shù)，還創(chuàng)新的引入信號處理領(lǐng)域的時頻分析技術(shù)，構(gòu)造了有較強通用性的木馬檢測特征。 （1）連接建立階段。 （2）保持連接無操作階段。 （3）交互操作階段。 主要技術(shù)指標： （1）能夠檢測PcShare、灰鴿子等主流木馬及其變種； （2）至少能夠檢測采用HTTP、HTTPS隧道類型的木馬； （3）至少支持100Mbps帶寬的網(wǎng)絡(luò)； （4）木馬處于普通連接狀態(tài)時，在漏檢率為5%條件下，虛警率控制在1%以下；木馬處于數(shù)據(jù)下載狀態(tài)時，在漏檢率為5%條件下，虛警率控制在1%以下。
科學性、先進性
- 目前在針對木馬通信的檢測，主要存在以下三種檢測技術(shù)，分別是：基于特征匹配的檢測技術(shù)、基于協(xié)議分析的檢測技術(shù)和基于行為分析的檢測技術(shù)。 總體而言，現(xiàn)階段安全產(chǎn)品對木馬的檢測方法主要是采用基于特征的檢測技術(shù)，但是隨著木馬的不斷更新，木馬通信中的特征字串在不斷變化，甚至不存在特征字串，基于特征的檢測設(shè)備“反應(yīng)遲緩”的特點會給網(wǎng)絡(luò)安全帶來極大的隱患。同時，各種新型網(wǎng)絡(luò)隱蔽通道及各種變形技術(shù)的不斷出現(xiàn)也使得基于特征的檢測設(shè)備效率極低，傳統(tǒng)的基于特征匹配的檢測技術(shù)具有很大局限性。相較于特征字匹配技術(shù)，基于通信行為分析的木馬檢測技術(shù)具有較強的通用性，該技術(shù)作為檢測木馬隱蔽通信的首選技術(shù)，已成為中外學者的研究熱點。但目前由于基于行為的檢測方法實現(xiàn)困難，且普遍存在虛警率和漏報率高的現(xiàn)象，性能還無法滿足網(wǎng)絡(luò)安全監(jiān)控的實際需求。
獲獎情況及鑒定結(jié)果
- 無
作品所處階段
- 中試階段
技術(shù)轉(zhuǎn)讓方式
- 專利技術(shù)轉(zhuǎn)讓
作品可展示的形式
- ■實物、產(chǎn)品 ■模型 ■磁盤 ■現(xiàn)場演示 ■圖片 ■樣品
使用說明,技術(shù)特點和優(yōu)勢,適應(yīng)范圍,推廣前景的技術(shù)性說明,市場分析,經(jīng)濟效益預測
- “浮云”系統(tǒng)可以采用串接和并接兩種方式部署在被監(jiān)控網(wǎng)絡(luò)中。為用戶提供網(wǎng)絡(luò)安全保護管理或?qū)W(wǎng)絡(luò)失竊密行為進行審計取證。 每年在我國發(fā)生的網(wǎng)絡(luò)失竊密事件不計其數(shù)，對網(wǎng)絡(luò)安全造成了嚴重威脅。本作品的研究成果對于提高關(guān)鍵網(wǎng)絡(luò)的安全性和減少竊密案件發(fā)生具有重要意義，可提高竊密攻擊檢測的效率，提升對竊密攻擊的監(jiān)測能力。研究成果可應(yīng)用于公安、安全、等級測評等單位進行安全檢查與風險評估，也可為政府機關(guān)、軍隊、重要企業(yè)等部門提供日常的網(wǎng)絡(luò)安全保護，通過部署于網(wǎng)絡(luò)出口處，有效檢測竊密型木馬網(wǎng)絡(luò)隱蔽通信，減少損失，為網(wǎng)絡(luò)安全保護和審計取證工作提供有力的技術(shù)支撐，產(chǎn)生良好的社會和經(jīng)濟效益。
同類課題研究水平概述
- 目前針對木馬通信的檢測主要存在三種檢測技術(shù)，分別是：基于特征匹配的檢測技術(shù)、基于協(xié)議分析的檢測技術(shù)和基于行為分析的檢測技術(shù)。其中，基于特征匹配的檢測技術(shù)通過建立并維護一個預先定義的特征數(shù)據(jù)庫，用數(shù)據(jù)庫中的特征信息與所監(jiān)視網(wǎng)絡(luò)數(shù)據(jù)流進行匹配，如果匹配成功則產(chǎn)生報警?；趨f(xié)議分析的檢測技術(shù)通過對網(wǎng)絡(luò)數(shù)據(jù)流進行協(xié)議分析，如果發(fā)現(xiàn)數(shù)據(jù)流中存在違背協(xié)議規(guī)范的行為則產(chǎn)生報警?；谛袨榈臋z測技術(shù)利用數(shù)據(jù)包自身特點和鏈路的各種特征屬性來描述網(wǎng)絡(luò)行為，檢測木馬攻擊。 在上述三種檢測技術(shù)中，基于行為的檢測技術(shù)被認為是最有前景的木馬檢測方法，代表著該領(lǐng)域未來的發(fā)展趨勢。相較于特征字匹配技術(shù)，基于行為的檢測技術(shù)具有較強的通用性，該技術(shù)作為檢測竊密型木馬的首選技術(shù)，已成為中外學者的研究熱點。 目前國內(nèi)的安全產(chǎn)品對竊密型木馬的檢測方法主要是采用基于特征碼匹配的檢測技術(shù)，公開市場上尚未出現(xiàn)成熟的基于通信行為的檢測設(shè)備。但是隨著木馬的不斷更新，木馬通信中的特征字串在不斷變化，甚至不存在特征字串，基于特征碼的檢測設(shè)備時滯性特點會給網(wǎng)絡(luò)安全帶來極大的隱患。同時，各種新型木馬通信及各種變形技術(shù)的不斷出現(xiàn)也使得基于特征的檢測設(shè)備效率極低，傳統(tǒng)的基于特征匹配的檢測技術(shù)具有很大局限性。
