離群點(diǎn)挖掘?qū)nort系統(tǒng)的改進(jìn)研究.pdf

1、入侵檢測可以分為誤用檢測和異常檢測，Snort系統(tǒng)作為典型的誤用入侵檢測系統(tǒng)采用特征匹配的網(wǎng)絡(luò)入侵檢測系統(tǒng)，具有開放源代碼和采用插件機(jī)制的特征。Snort采用的入侵特征匹配方法為較低層次的網(wǎng)絡(luò)數(shù)據(jù)包特征碼匹配，這種描述入侵特征方式比較復(fù)雜，不容易理解。入侵檢測數(shù)據(jù)集KDD99的屬性集對各種入侵特征進(jìn)行了比較好的抽象概括，利用KDD99數(shù)據(jù)集的屬性集進(jìn)行入侵檢測具有更好的可理解性，更簡潔，效率更高，能更準(zhǔn)確的檢測到各種入侵類型。本研究通過

2、對入侵和特征屬性進(jìn)行分類分析并對屬性集的各個屬性計(jì)算信息增益，按信息增益由大到小排序，選擇信息增益較大的部分屬性進(jìn)行改進(jìn)的Snort系統(tǒng)入侵檢測。Snort系統(tǒng)具有誤用入侵檢測系統(tǒng)所具有的較高的檢測效率優(yōu)點(diǎn)，但也存在無法檢測出未知入侵類型的弱點(diǎn)。本研究設(shè)計(jì)了一種簡單的基于偏差的離群點(diǎn)檢測方法，并將之應(yīng)用在Snort系統(tǒng)中，使改進(jìn)的Snort系統(tǒng)具有了對未定義入侵特征的入侵類型的檢測能力。
　　本研究在Snort系統(tǒng)的檢測流程的基礎(chǔ)