网络入侵检测中的数据挖掘算法研究

第３ｏ卷第１期　２ＯＯ６年１月　江西师范大学学报（自然科学版）　ＪＯＵＲＮＡＬ　ＯＦ　ＪＩＡＮＧＸＩ　ＮＯＲＭＡＩ．ＵＮＩＶＥＲＳＩＴＹ（ＮＡＴＵＲＡＩ．ＳＣＩＥＮＣＥ）　Ｖ０Ｊ．３ｏ　Ｎｏ．１　Ｊａｎ．２００６　

文章编号：１０００—５８６２（２００６）０１—００５４—０４　

数据挖掘技术在网络入侵检测中的应用　

邱舟强，　滕少华，　李振坤，　陈平华，　张　巍　

（广东工业大学计算机学院，广东广州５１００９０）　

摘要：基于通用入侵检测轮廓，建立了一个基于数据挖掘技术的异常检测模型，采用关联规则、序列规则　对数据进行挖掘，用判定树分类技术对获得的规则进行分类．实验表明，本模型具有较好的效益．　关键词：入侵检测轮廓；异常检测；数据挖掘；关联规则；序列规则　

中图分类号：ｒＩ１Ｐ　３９３　０８　文献标识码：Ａ　

入侵检测系统分为３大类＿ｌ－４Ｊ：基于网络的入侵检测系统、基于主机的入侵检测系统和混合式入侵检测　

系统．基于网络的入侵检测系统保护整个网段，监听网络中的数据包，从中发现有攻击特征的数据包并对它　

做出相应的处理，比如中断连接、记录功击数据、发出警报信号等．基于主机的入侵检测系统保护重要主机，　从被保护主机获取系统内部的数据、日志、系统状态、应用程序等信息，从中发现攻击迹象，并做出相应的响　

应．混合式入侵检测系统将基于主机的入侵检测同基于网络的入侵检测结合起来，综合保护整个系统．　异常检测是入侵检测系统的主要研究方向之一，其基本特点有：首先建立用户的正常使用模式，并存人　

知识库中，然后将当前用户的行为模式同知识库中的模式进行比较，根据比较结果的偏离程度确定是否发　

生异常．异常检测需要解决两个问题：一是如何建立用户的正常使用模式；二是当前用户的行为模式同知识　

库中的模式如何比较，以确定是否产生异常．行为模式是指用户操作和程序执行过程中体现出的某种规律　

性．　数据挖掘Ｌｓ－Ｔｊ是从大量数据中提取或“挖掘”出知识．具体说是对数据进行处理，从而获得隐含的、事先　

第２７卷第１期　Ｖ０１．２７　Ｎ０．１　重庆工商大学学报（自然科学版）　Ｊ　Ｃｈｏｎｇｑｉｎｇ　Ｔｅｃｈｎｏｌ　Ｂｕｓｉｎｅｓｓ　Ｕｎｉｖ．（Ｎａｔ　Ｓｃｉ　Ｅｄ）　２０１０年２月　Ｆｅｂ．２０１０　

文章编号：１６７２—０５８Ｘ（２０１０）０１—００６０—０４　

基于数据挖掘的入侵检测系统分析研究　

焦亚冰　、、、—ｉ…　’　

（山东英才学院计算机电子信息工程学院，济南２５０１０４）　

摘要：首先介绍了入侵检测系统的相关技术，然后着重介绍了将数据挖掘技术应用于入侵检测系统；　通过数据挖掘技术和入侵检测技术，提出了一种基于数据挖掘技术的入侵检测系统模型；将数据挖掘方法　中的关联规则，分类分析在入侵检测系统中的协同工作方式，通过对关联规则和分类分析，得到入侵规则。　关键词：入侵检测系统；数据挖掘；关联规则　ｔ　中图分类号：ＴＰ３９３，ＴＰＩ８　文献标志码：Ａ　

随着Ｉｎｔｅｒｕｅｔ的发展，网络已深入千家万户，网络安全作为一个无法回避的问题呈现在人们面前。由于　

网络的开放性，造成了网络极易受到来自网络内部和外部的攻击。网络攻击的手段不断出新，例如暴力攻　

击、网络窃听、源代码分析、ＩＰ伪装、拒绝服务攻击、网络扫描、分布式攻击、利用已知漏洞及协议缺陷攻击　

等。随着攻击技术的发展及其在网上的传播，即使不具备计算机专业知识的人，也能从网络上方便的下载　

并使用简单而危害性很大的攻击工具。网络攻击无处不在，因此有必要在网络中布置入侵检测系统，以保　

障网络安全。　

１入侵检测的概述　

入侵是指任何企图威胁资源的完整性、机密性和可用性的活动¨　。不仅包括发起攻击的人（如恶意的　

黑客）取得超出合法范围的系统控制权，也包括收集漏洞信息造成拒绝访问等对计算机系统做成危害的行　

为。入侵检测技术全称为Ｉｎｔｒｕｓｉｏｎ　Ｄｅｔｅｃｔｉｏｎ　Ｓｙｓｔｅｍ（ＩＤＳ），是一种主动保护自己免受攻击的一种网络安全技　

术。作为防火墙的合理补充，入侵检测技术能够帮助系统对付网络攻击，扩展了系统管理员的安全管理能　

基于神经网络的网络入侵检测技术研究

随着计算机和网络技术的发展，网络安全问题愈发严重。入侵者不断突破各类防御措施，进行各类攻击和破坏。网络入侵检测技术作为网络安全的一重要领域，旨在及时发现入侵的迹象，保护网络安全。其中，基于神经网络的网络入侵检测技术，在保证检测精度的同时也有着较高的效率，得到了越来越多的关注和应用。

一、神经网络基本原理

神经网络（Neural Network）是模拟生物神经网络行为的计算模型，由多个节点（Neuron）和它们之间的连接组成。神经网络可以处理不确定、不精确、和非线性的数据，可以通过学习给定的样本数据，自动生成模型和推理出结果。其主要的推理过程是基于各个节点之间的权重分配和门控连接的计算。因此，神经网络的具体结构和参数设置，直接影响到神经网络的效率和准确性。

二、基于神经网络的网络入侵检测技术

1. 传统的网络入侵检测技术的不足

传统的网络入侵检测技术主要包括基于规则、基于统计和基于机器学习的方法。它们依据已经有的规则、统计数据或分类样本数据，来判断当前的网络行为是否存在入侵可能。然而，这些方法针对的是某些已知的入侵类型，无法有效处理未知的入侵，且易受到各种攻击手段的欺骗。另外，这些方法还有较高的误报率，对网络运行效率和管理也有一定的影响。

2. 基于神经网络的网络入侵检测技术的优势

相比传统方法，基于神经网络的网络入侵检测技术具有以下优点：

（1）快速学习能力 神经网络具有自适应、非线性、并行的特点，在不依赖于预设规则的情况下可以快速学习到已知的和未知的入侵，提高了检测的准确性。

（2）适应未知攻击类型

神经网络可以学习到大量不同的入侵类型，对未知的攻击也能有较好的应对能力，且抗攻击性强，不易受到异常数据和噪声的干扰和欺骗。

（3）效率高

神经网络检测速度快，且在具有较好的准确性的情况下能够有效避免误报，保证网络的正常运行。

三、神经网络在网络入侵检测中的运用

基于数据流分析的网络入侵检测技术研究

随着计算机技术的飞速发展和互联网的普及，网络攻击事件层出不穷，导致信息泄露、数据丢失等严重后果，严重危害到人们的生命财产安全。因此，网络安全已成为信息化时代社会安全的重要组成部分。其中，网络入侵检测技术是保障网络安全的重要手段之一。

传统的网络入侵检测技术主要基于模式匹配和规则匹配，由于复杂性、实时性等原因，在实践中无法准确地检测出某些新型网络攻击，因此针对数据流入侵检测，提出了基于数据流分析的网络入侵检测技术，即通过对网络流量进行实时分析和处理，识别网络入侵行为。

一、基于数据流分析的网络入侵检测技术的基本思想

采用基于数据流分析的网络入侵检测技术的基本思想是，通过对网络的通信数据进行实时采集和分析，构造出网络应用的“语法模型”和“行为模式”，并利用这些模型和模式进行网络攻击的检测。

其中，“语法模型”是指网络应用的协议特征，如HTTP头部、TCP首部等等，而“行为模式”则是指各种攻击行为的特征，如DDoS攻击、SQL注入攻击等等。这些模型和模式是通过对历史流量进行分析学习得到的。

二、基于数据流分析的网络入侵检测技术的实现方法 基于数据流分析的网络入侵检测技术的实现方法主要包括以下几个方面：

1. 数据采集与预处理

该阶段的主要任务是采集数据并进行预处理，将原始数据转化为可供分析的数据流。同时，还需要进行数据清洗、去重、去噪等操作，以确保数据的准确性、完整性和可靠性。

2. 特征提取与表示

在该阶段，需要从数据流中提取关键特征，构建数据流特征表示模型，并通过特征选择、特征分析等方式对特征进行筛选和优化。

3. 建模与训练

在该阶段，需要对特征进行聚类、分类等操作，以建立数据流的语法模型和行为模式。同时，还需要利用机器学习算法，对这些模型进行训练和优化。

4. 攻击检测与响应

在该阶段，利用前面阶段构建的模型和模式，对实时网络流量进行检测，发现攻击行为后，及时做出反应，采取相应的防御措施，确保网络安全。