当前位置：文档之家 › 数据挖掘在入侵检测系统中的应用

数据挖掘在入侵检测系统中的应用

  • 格式：pdf
  • 大小：221.93 KB
  • 文档页数：3

Ａｐ ｌ ａ ｉｎ ｏ ａａｍｉ ｉ ｇｉ ｔｕ ｉｎ ｄ ｔｃｉ ｎ ｓ ｓｅ ｐ ｉ ｔ ｆ ｔ ｎｎ ｉ ｒ ｓｏ ｅｅ ｔ ｙ ｔｍ ｃ ｏ ｄ ｎｎ ｏ
ＣＵＩＴ ｎ ＬＩ —ｏ ｇ ｉ ｇ， ｌｎ Ｙｕ
（．Ｃ ｌ ｇ ｆ ｌ ｔ ｎｃ ａ ｄ ｎｏｍａ ｏ ｎ ｉｅｒ ｇ ａｚ ｏ ａｔｎ ｉ ｒ ｔ Ｌ ｎ ｈ ｕ ３ ０ ０ Ｃ ｉａ １ ｏｌ ｅ Ｅｅ ｒ ｉｓ ｎ ｆｒ ｔ ｎ ｇ ｅｉ ，Ｌ ｎｈ ｕＪ ｏｏ ｇ ｖ ｓｙ ａｚ ｏ ０ ７ ， ｈｎ ； ｅ ｏ ｃｏ Ｉ ｉ Ｅ ｎ ｎ ｉ Ｕｎ ｅ ｉ ， ７
ｄｔ ｔ ｎ ｓｈ ｓａｃ ｂｅｔｎ ｈ ｅ ｎ ｔ ｒ ｃｒ ．Ｔ ｅ ａｉｃ ｎｅ ｔａｄｒｌ ａｔｅｈ ｉｕ ｓ ｆｎｒｓ ｎ ｅ ｃ ｏ ｓ ｍ ｅｅ ｉ ｅ ｅｅｒｈｓ ｊｃ ｉｔｅｆ ｌ ｏ ｅ ｋｓ ｕｉ ｃ ｏ ｉｔ ｒ ｕ ｉ ｄ ｆ ｗｏ ｅ ｔ ｈ ｓ ｃｐｓ ｎ ｅ ｎ ｃｎｑ ｅ ｏ ｉｔ ｉ ｔ ｔ ｎｓ ｔ ｙ ｂ ｃｏ ｅｖ ｔ ｕｏ ｄ ｅｉ ｙ ｅ
Ａｂ ｔ ａ ｔ Ｉ ｔ ｓ ｎｄ ｔ ｃｉ ｎｉ ｉ ｄ ｏ ｎ ｔ ｒ ｅ ｕ ｔ ｃ ｎ ｌｇ ｐ ｅ ｒｎ ｃ ｎ ｅ ｒ ． Ｄａａｍｉ ｉｇ ｃ ｍｂ ｎ ｎ ｔ ｔｕ ｉｎ ｓ ｒ ｃ ： ｎ ｒ ｉ ｅｅ ｔ ａ ｎ ｆ ｅｗｏ ｋ ｓ ｃ ｒ ｙｔ ｈ ｏ ｏ ｙａ ｐ ａ ｇ ｉ ｒ ｅ ｔ ａ ｓ ｕ ｏ ｏ ｓ ｋ ｉ ｅ ｉ ｎ ｅ ｙ ｔ ｎ ｎ ｏ ｉ ｉ ｇｗｉ ｉ ｒ ｓｏ ｈｎ
ｓ ｓｅ ｐ ｒｏ ｍａ ｃ ｙ ｔｍ ｅ ｆ ｒ ｎ ｅｉ ｉ ｒ ｖ ｄ ｓ ｍｐ ｏ ｅ ．
Ｋｅ ｒ ｓ ａａｍｉｉｇ ｉｔｕ ｉｎｄ ｔｃｉｎ ｅｗｏ ｋｓｃ ｒｔ； ａｓ ｃａｉｎｒｌｓ Ａｐ ｉｒ ａｇ ｒｔ ｙｗｏ ｄ ：ｄ ｔ ｎｎ ； ｎｒ ｓｏ ｅｅ ｔ ；ｎ ｔ ｒ ｅ ｕ ｉ ｏ ｙ ｓｏ ｉｔ ｅ； ｏ ｕ ｒｏｉ ｌｏｉ ｍ ｈ
了入 侵 检 测 系 统 的 基 本 概 念 和 相 关 技 术 ，阐 述 了数 据 挖 掘 在 入 侵 检 测 系 统 研 究 中常 用 的 技 术 ， 出 了基 于 数 据 挖 掘 的 入 侵 提
检 测 系统 和一种 改进 的 Ａｐｉｒ算法 ， 对 系统结构 及各 部分 的功 能进行 了分析 。该 算法应 用 于此 系统 来提取 用户行 为特征 ｒ ｉ ｏ 并
（，兰 州交 通 大 学 电子与信 息工程 学院 ，甘 肃 兰州 ７０７； １ ３ ００
２ ．兰州 交通 大 学 数理 与软 件 工程 学 院 ，甘 肃 兰州 ７０ ７） ３ ０ ０
摘 要： 入侵 检 测是近 年来 出现 的 网络安 全技 术 ， 将数据 挖 掘技 术和 入侵检 测 结合是 网络 安全领 域 的一 个研 究课 题 。介 绍
２ Ｃ ｌ ｇ ｆ ｔｅ ｔ ｓ ｎ ｏ ｗａｅ ｎ ｉｅｒ ｇ ａｚ ｏ ａｔｎ ｉｅ ｉ ，Ｌ ｎ ｈ ｕ ３ ０ ０ ｈｎ ） ． ｏｌ ｅ ｈｍａｉ ｄ ｆ ｒ ｇｎｅｉ ，Ｌ ｎ ｈ ｕ ｉ ｏ ｇ ｖ ｒ ｔ ｅ ｏ Ｍａ ｃａ Ｓ ｔ Ｅ ｎ Ｊｏ Ｕｎ ｓ ｙ ａｚ ｏ ０ ７ ，Ｃ ｉ ７ ａ
第 ２ 卷 第 ２ 期 ９ ３
ＶＯ ． ９ １２
Ｎ Ｏ． ３ ２
计 算 机 工 程 与设 计
Ｃｏ ｕｅ ｇｎ ｅ ｉｇａ ｄＤｅ ｉｎ ｍｐ ｔｒ Ｅｎ ｉｅ ｒｎ ｎ ｓｇ
２０ 年 １ 月 ０８ ２
Ｄ ｅ ．２ ０８ ｃ ０
数据挖掘在入侵检测系统中的应用
崔 挺 李 玉龙 ，
和 入 侵 模 式 特 征 ， 高 了整 个 系统 的 性 能 。 提
关键 词 ： 数据 挖掘 ；入侵 检 测； 网络安 全； 关联 规则 ；Ａｐ ｏ 算法 ｉｉ ｒｆ
中图法分 类号 ：Ｐ９． Ｔ ３ 编号 ：００ ０４ ２０） ３ ９３ ２ １０— ２ （ ８２— ５— ７ ０ ５ ０
ａ ｅｉｔｏ ｕ ｅ ｎ ｅｃ ｍｍ ｏ ａ ａｍｉ ｉｇ ｔ ｃ ｉ ｕ ｓｕ ｅ ｔ ｓｏ ｅ ｅ ｔ ｎ ｓ ｓｅ ａ ｅｂ ｅ ｙ ｅａ ｏ ａ ｅ ． Ｔ ｅｉ ｔ ｓｏ ｅ ｅ ｔｏ ｒ ｒ ｄ ｃ ｄ ａ ｄ ｔ ｏ ｎ ｈ ｎ ｄ ｔ ｎ ｎ ｈ ｑ ｅ ｓ ｄ ｉ ｉ ｒ ｉ ｎ ｄ ｔ ｃｉ ｔ ｍ ｙ ｒ ｆ ｌｂ ｒ ｔ ｄ ｅｎ ｎｎ ｕ ｏ ｙ ｉ ｌ ｈ ｒ ｉｎ ｄ ｔ ｃｉ ｎ ｎ ｕ ｓ ｓｅ ｂ ｓ ｄ ｏ ｅｄ ｔ ｎ ｎ ｎ ｎ ｉ ｒ ｖ ｄ Ａｐ ｏ ｌ ｏ ｉ ｍ ｒ ｕ ｒ ｒ ｎ ｅｓｒ ｃ ｕ ｅ ｎ ｅ ｆ ｎ ｔｏ ｓｏ ｖ ｒ ａ ｔ ｆ ｙ ｔｍ ａ ｅ ｎ ｔ ａ ｍｉ ｉ ｇ ａ ｄａ ｍｐ ｏ ｅ ｒ ｒ ａ ｇ ｒｔ ａ ｅｐ ｔ ｏ ｗａ ｄａ ｄｔ ｔｕ ｔ ｒ ｓａ ｄ ｔ ｃ ｉ ｎ ｆ ｅ ｙ ｐ ｒ ｈ ａ ｉ ｉ ｈ ｆ ｈ ｈ ｕ ｅ ｏ ｔ ｅｓ ｓｅ ａ ｅ ｎ ｌ ｓ ｄ Ｔｈ ｌ ｏ ｉ ｍ ｐ ｌ ｄｉ ｅｓ ｓｅ ｔ ｘ ｒ ｃ ａｕ ｅ ｆ ｓ ｒ Ｓ ｅ ａ ｉ ｒ ｎ ｔｕ ｉ ｎｐ ａ ｍｓａ ｄｔ ｅｅ ｔ ｅ ｈ ｔ ｍ ｒ ａｙ ｅ ． ｙ ａ ｅａ ｇ ｒｔ ｉ ａ ｐ ｉ ｔ ｔ ｍ ｅ ｔａ ｔ ｅ ｔｒ ｓ ｕ ｅ ’ ｈ ｖ ｏ ｓ ｄｉ ｒ ｓｏ ａ ｅ ｎ ｎ ｉ ｈ ｓ ｅ ｎｈ ｙ ｏ ｆ ｏ ｂ ａ ｎ ｈ ｒ

合集下载

浅析数据挖掘算法在入侵检测中的应用

浅析数据挖掘算法在入侵检测中的应用


随 着 网 络 技术 的 快 速发 展 ， 用 丰 富 的 网络 资 源进 行 攻 击 的手 这类对象 的有关特征 。 利 法千变万化 ， 通过一些简单的操作就 可以实施极具破坏力的攻击行 ３４偏 差 检 测 ． 为 ， 何有 效 的检 测 并 阻止 这 些 攻 击 行为 的发 生成 了 目前 计 算 机行 如 偏 差 包 括 很 多潜 在 的知 识 。 据挖 掘 技 术 是 最 新 引入 到 入 侵检 数
做出极具准确性的预测性。 数据挖掘最终要实现的是从众多的数据
库 中发 现 隐 含 的且 理 论极 具 有 意 义 的 知 识 。
入 侵检测系统主要关注的是来 自系统 外部 的攻 击行 为。 然而 ， 大部分造成严重后果的系统入侵正是 由内部攻击者引起 的， 因此通 过对基 于内部用户行为模 式的异常检测进行 了相应的试验 。 在实验
系统提供免受外部攻击 、 内部 攻 击 和 误 操 作 的安 全 保 障 。 入侵 检 测
４２通 过 采 用加 权 关联 规 则 来挖 掘 算 法 ．
通常分为一下三个部分 ： 数据采集 、 数据分析以及 系统响应。 数据采
加权关联规则技术引入的入侵检测 系统 可更精确地表 示入 侵 集 主 要是 从 网络 系 统 中进 行 采 集 网络 中相 关 的数 据 包 、 要 文 件 以 模 式 。 主 要 是 考 虑 到 了审 计 数 据 的时 间效 应 。 重 这 同时 ， 用 加 权 关 联 使 及 与 用 户 活 动 有 关 的 数 据 等 。 据 分 析 则 通 过 模 式 匹配 、 常 检 测 规 则 可 以更 加容 易 、 数 异 有效 地 从 各种 各 样 的 审 计 数据 中发 现 出有 用 信 和完整性检测三种技术手段对采集的数据进行分析 。 入侵检测系统 息。 因此 ， 加权 关联规则 技术 比关联规则技术更加适合用来 构建 入 旦 发 现 入 侵 行 为 ， 即会 进 入 响 应 过 程 。 立 侵检测系统 的入 侵模 块数据库 。
数据挖掘技术在网络入侵检测中的应用探讨

数据挖掘技术在网络入侵检测中的应用探讨

关键词： 数据挖掘 ；入侵检测 ；网络 安全 中图分类号：Ｔ ３ 文献标识码 ：Ａ 文 章编号：１ ７ －７ ９ ２ １ ）０ １ １ ３ ２ Ｐ ６ １ ５ ７（ ０ ０ ６ ０ ７ —０
０引 言
２数 据 挖掘技 术在 网络 入侵检 测 中的应 用探讨
２ １数 据挖掘 技术 与 网络入侵 检测 系统 的融合 ．
的协 同作 用 ；对 子系 统调 用序 列数 据 ，可 以采 用序 列模 式挖 掘 算法 ；对 于
果能够 为 用户 和系 统 的所有 正常 行 为总 结活 动规 律 并建立 行 为模 型 ，那 么
入 侵检 测 系统 可 以将 当前捕 获到 的 网络行 为 与行 为模 型相 对 比 ，若入 侵 行 为偏 离 了正常 的行 为轨 迹 ，就可 以被 检测 出来 。它主 要存 在 以下 缺 点： 误 报 率高 、行为 模型 建立 困难 、难 以对 入侵 行为 进行 分类和 命名 等 。
一
个 入侵 信 息库 ，那 么入 侵检 测 系统 可 以将捕 获 的网络 行 为特 征与 入侵 信
数据 广——＿ 。 据 ，
挖 掘 数据 Ｊ
息库 中 的特征 信 息相 比较 ，如 果 匹配 ，则 当前 行为 就被 认 定为 入侵 行 为 ， 这种 方法 与大 部 分杀毒 软 件采 用 的特 征码 匹配 原理 类似 ，但 它 也存 在很 多 缺 陷，如 不能 检测 出新 的 入侵 行为 、完 全依 赖 于入 侵特 征 的有 效性 、维 护
哥伦 比亚大 学和 北卡 罗来纳 州立 大 学 的研 究人 员于 ２０ 年首 先提 出将 ００
数据 挖 掘 的方法 用于 入侵 检 测 。与基 于模 式 匹配 的入 侵检 测技 术不 同 ，基
于数 据 挖掘 的入 侵检 测 技术 可 以 自动 地从 训 练数据 中提取 出可 用于 入侵 检
数据挖掘在入侵检测中的应用

数据挖掘在入侵检测中的应用


很好地解决这个问题， 现有的数据挖掘算法通 过发掘数据之间的关系， 可以为我们的分析提 供各个不同侧面的数据特征。特别是我们可 以将以前的结果和最新的数据加以综合， 这样
可以大大减少不必要的数据。
经过深入分析发现， 尽管基干数据挖掘的 入侵检测模型在检测性能和通用性方面具有 但在采用此类系统时仍然存在一定困难 ds _b t ， g 共7项组成， 务的唯一 t y e f s l a 事 标识 优势， 于是对大量历史 数据处理， 检测 符为time ， 其中service 为服务 (或目 的的端 检测效率: 由 实时性 口 srcellost 为源主机，t _hos 为目 )， s ds t 的主机， 模型在学习和评价阶段的计算成本高， dst‘y e 为源主机发出的数据包大小， g 为 实施困难。使用性能: 系统需要大量的训练数 1t s 〕 a i f 据， 而且比传统系统更加复杂。 标记。
择过程。
4 数据挖掘技术在入俊检测中的应用
4 . 1 关联规则挖掘 关联规贝是数据挖掘中最为广泛应用的 ] 1 技术之一， 也是最早用于人侵检测的技术。 最早运用这种技术是作为一种工具去产生关 干网络流的报告。 发现关联规则问题就是发现所有支持度 和可信度均超过规定闭值的关联规则， 这个发
由干应用数据挖掘技术的异常检测不墓于信 号匹配模式， 它并不就每一个特别的信号进行 检测， 所以就不存在这个问题， 表现出一定程 度的实时性。 5. 2 误警率低 现有的系统过度依赖于单纯的信号匹配， 它发出的警报可能远远多于实际的情况， 在某 种正常的工作中 如果包含这种信号的话， 就必 然产生误警。采用数据挖掘的系统可以从等 报发生的序列发现某种规律从而滤出那些正 常的行为产生的信号。数据挖掘方法还可以 有效地剔除重复的攻击数据， 因而具有较低的
数据挖掘技术在入侵检测领域的应用

数据挖掘技术在入侵检测领域的应用


整个体系结构包含 了传感器， 检测器， 个数据仓库 以 一 及一个模型生成器 组件 。这个体 系结构不仅支持数据的收
每类若干样本 的数 据信 息， 将这些数据分 为训练样本 集和 测试 样本集两部分， 然后经过训练、测试 和算法应用３ 个阶 段来构造代码分类器 。在训 练阶段， 分析训练样本集合 中 的数据记录的特征属性， 通过特征抽取， 总结出分类的规律
的， 字 或 符 号 的 。在 这 个 结 构 体 系 中， 模 型 可 以是 神 经 数 其 网络 模 型 、规 则 集 模 型 或 概 率 模 型 。 为 了处 理 这 种 异
生成 精确的分类规则描述， 就是分类的映射规则 。在测 也 试 阶段， 利用这些分类规 则对 测试 样本集合 中的数据进行 测试 ， 来检验分类规则 的正确 性和精度， 并根据测试结果，
Ｌ ｒ ｅ Ｉ ｍ ｔ ａ ｇ ｅ Ｓｅ）： ｔ
一
个 映射 的过 程 ， 类 器 将 未 标 明 类 别 的 二 进 制 代 码 映 射 分
到 不 同的 类 别 中， 用数 学 公 式 表 示如 下：
ｆ：
凿
图１
其 中 ， 为待 分 类 的 代 码 集合 ， 为 分 类体 系 中的 类 别 Ａ Ｂ
集 合 。构 造 分 类 器 是 进 行分 类 的 关键 。分 类 器 的 构 造 方 法
器 ｐ
行机器学 习， 从而构造出代码分类器， 在遇到新人侵 时， 就 可 以运 用这个 分类器对实际数据进行分类 ， 确定入侵 的类
别 。一 般 来 说 ， 试 阶 段 的 代价 远 远 低 于 训 练 阶 段 。 测
对分类模型进行评估主要用到下列指标： 一是预测精 度， 分类器正确预 测新 的或先前未见过 的数据类的能力： 二 是学 习效率， 产生和使 用分 类器 的时间： 三是健壮性， 给定