摘要：网络系统不仅面临外部和内部威胁主体的入侵,同时威胁主体会利用脆弱点间、网络组件间的相互作用关系进行威胁传播,产生严重的潜在威胁.设计合理的模型对潜在威胁进行识别、分析,并量化测度其对网络安全的影响,是当前网络安全评估所面临的主要挑战之一.针对该问题,提出了一种基于威胁传播模型的层次化网络安全评估方法.首先提出了威胁传播模型识别目标网络系统的威胁主体,分析其传播路径,预测其对网络系统的潜在破坏;在此基础上提出了层次化网络安全测度模型来计算服务、主机和网络系统3个层次的危险指数.通过将原型系统应用于某企业局域网络系统,验证了威胁传播模型的正确性及其评估方法相比传统方法的优势.

摘要：以隔离网闸技术为基础,设计并实现了一个多网安全隔离交换系统.系统采用了多线程、ARP缓存、网络地址转换等技术,使多个外网能够并行接入系统,对内网进行安全访问;采用了零拷贝技术,并优化了规则匹配算法以提高处理性能.经验证,设计实现的多网安全隔离交换系统能够对内外网络进行物理隔离,并对网络数据进行深度内容检查和安全控制,且具有较高的网络处理性能.

摘要：随着网络带宽的迅速增长,主机协议处理开销已经成为系统整体性能的瓶颈。为了有效增加系统吞吐率,进一步减轻CPU的负担,本文详细描述了一种基于FPGA(Field Programmable Gate Array)的TOE(TCP Offload En-gine)系统的设计与实现。实验结果表明,系统在吞吐率等方面明显优于非TOE系统。

摘要：提出一种按序排队(in-order queuing,简称IOQ)PPS体系结构,通过在分流控制器引入固定尺寸的缓冲区,实现负载在每个交换平面的均匀分配;中间层组合输入输出排队(combined input-and-output queuing,简称CIOQ)交换平面受控于中央调度器,在每个时间槽(timeslot),中央调度器将同一种匹配实施到每一个交换平面,称之为同步调度策略.可以证明,在该体系结构下,轮询(round robin)分派算法配合同步调度策略可以保证同一条流的信元按序从交换平面读出.进一步提出了严格最长队列优先同步调度算法,极大地减少了中央调度器需要维护的状态信息和信元重定序开销.与目前主流的PPS设计相比,IOQPPS(in-order queuing parallel packet switch)实现机制简单,易于硬件实现.模拟结果表明,IOQPPS具有最优的延迟性能.

摘要：提出了一种应用层负载均衡模型,将网络流量按照应用类型进行分流。该模型将网络流量分为普通应用和P2P应用两部分,根据应用类型将P2P应用流量划分为应用层报文集。初始化时采用Hash映射算法分配流量,使用静态CRC16算法分流普通应用流量,设计了基于历史流量的负载均衡算法进行动态调整。仿真结果显示,该模型具有较好的可行性与稳定性,实现了应用层次的负载均衡。

摘要：目前,网络脆弱性量化评估面临的主要挑战之一是识别网络中存在的脆弱性和它们之间的相互关系以及由此产生的潜在威胁,本文提出了一种基于属性攻击图的网络脆弱性量化评估方法。首先对属性攻击图和有效攻击路径进行了形式化定义,在此基础上提出了采用"最大可达概率"指标来度量目标网络中关键属性集合的脆弱性,并设计了最大可达概率计算算法,该算法解决了属性攻击图的含圈路径问题;为解决实际评估中原始数据缺失的问题,提出了"可信度"的概念,它能有效反映缺失数据对评估结果的影响。

摘要：在论述负载均衡技术相关工作的基础上,基于IP报文头多域分类方法,提出自适应负载均衡算法MSF(minimum sessions first),通过动态调整TCP流数目最少的流束,能够在各处理节点间保持动态负载均衡的同时维持会话的完整性.模拟结果表明,MSF算法具有设计简洁、负载均匀度好、重映射破坏度小、会话完整性破坏度小等优点,对不同负载具有良好的综合性能.该算法已经成功地应用在国防科学技术大学计算机学院研制的高速网络安全设备中,在保持较好的负载均衡效果的前提下保证了会话的完整性,提高了网络安全设备的性能.

摘要：报文乱序是互联网中普遍存在的现象,深入理解互联网报文乱序的行为属性和影响,对于设计高性能网络协议和新型网络设备体系结构、优化网络整体效能具有重要的意义。本文建立了NewReno拥塞控制算法的工作模型,通过实验验证了模型的有效性。基于该模型,分析报文乱序对TCP连接的影响,发现乱序报文对TCP连接吞吐率的影响显著,而且乱序报文的影响与报文丢失率紧密相关:当报文丢失率较低时,报文乱序会导致TCP连接的吞吐率急剧下降;当丢失率较高时,报文乱序的影响比较小。这些结论可为报文乱序友好的网络协议和新型网络设备体系结构的设计提供指导。

摘要：攻击意图识别是海量报警数据处理的重要技术。隐马尔可夫模型HMM能够很好地对复杂攻击行为建模,但对含干扰因素报警序列的攻击意图识别效果不够理想。本文为此提出了改进方案,并根据攻击意图识别的特殊性定义了新的解码问题,设计了解码算法。

摘要：本文提出了基于层次化协同模型的多维可扩展路由器MER。参考Open Router路由器模型,利用层次化协同模型实现了独立于数据层的控制平台CSP,奠定了开放控制的基础;基于功能插件和抽象插件构造了基于插件的路由器抽象层PRA,分离了控制与转发平面,支持路由器转发平面功能的动态扩展;并举例说明了MER中高效的网络应用控制路由选择机制,体现了直接控制原理,有助于设计更为复杂的控制策略。模拟结果表明,MER具有良好的扩展性,支持网络应用直接控制,为控制平面智能化奠定基础。