在線自適應(yīng)網(wǎng)絡(luò)異常檢測系統(tǒng)模型與相關(guān)算法研究.pdf

1、隨著計算機(jī)網(wǎng)絡(luò)應(yīng)用的日益增多,安全問題越來越突出。網(wǎng)絡(luò)入侵可能會對計算機(jī)網(wǎng)絡(luò)造成嚴(yán)重的破壞,因此對具有主動防御特征的入侵檢測系統(tǒng)的需求日趨緊迫。與傳統(tǒng)的防火墻、反病毒軟件不同,入侵檢測系統(tǒng)能夠主動對網(wǎng)絡(luò)和用戶行為進(jìn)行監(jiān)控,發(fā)現(xiàn)對系統(tǒng)的非法使用和入侵行為,從而提供對系統(tǒng)的保護(hù)。在過去的十多年間,基于誤用的檢測得到大量應(yīng)用,因為這種技術(shù)易于實現(xiàn),并且具有較低的誤報率,因此實用性較強(qiáng)。但是基于異常的檢測技術(shù)具有發(fā)現(xiàn)新入侵的能力,近年來受到了越

2、來越多的重視。另外,在高速網(wǎng)絡(luò)環(huán)境下網(wǎng)絡(luò)流量不斷增加,多數(shù)入侵檢測算法已經(jīng)不能滿足對實時處理能力的需要。黑客技術(shù)的不斷發(fā)展以及網(wǎng)絡(luò)應(yīng)用環(huán)境的變化,也對入侵檢測系統(tǒng)的檢測性能和自適應(yīng)性提出了更高的要求。
　　 本文以提高入侵檢測系統(tǒng)的運(yùn)行效率,增強(qiáng)自適應(yīng)能力以及提高檢測能力為技術(shù)目標(biāo),在系統(tǒng)模型設(shè)計、檢測技術(shù)的綜合應(yīng)用以及檢測算法的設(shè)計等方面進(jìn)行了深入的研究,取得了一些創(chuàng)新性的研究成果,主要內(nèi)容包括:
　　 1.提出一個輕

3、量級的在線自適應(yīng)網(wǎng)絡(luò)異常檢測系統(tǒng)模型(OANAD)。系統(tǒng)能夠?qū)崟r網(wǎng)絡(luò)數(shù)據(jù)流進(jìn)行在線學(xué)習(xí)和檢測,在少量指導(dǎo)下逐漸構(gòu)建網(wǎng)絡(luò)的正常模式庫和入侵模式庫,并根據(jù)網(wǎng)絡(luò)使用特點(diǎn)動態(tài)進(jìn)行模式更新。系統(tǒng)結(jié)構(gòu)同時體現(xiàn)了異常檢測系統(tǒng)和誤用檢測系統(tǒng)的特點(diǎn)。OANAD使用基于網(wǎng)格的方法表達(dá)網(wǎng)絡(luò)應(yīng)用模式,同時配合簡潔高效的運(yùn)行機(jī)制,較好地滿足了在線處理網(wǎng)絡(luò)數(shù)據(jù)對系統(tǒng)運(yùn)行效率的要求。
　　 2.提出一個基于模式影響度的網(wǎng)絡(luò)異常檢測算法PIAD。算法將異常檢

4、測技術(shù)與誤用檢測技術(shù)有機(jī)地結(jié)合在一起,不但能夠檢測到新入侵,而且在保持較高的檢測率的同時有效控制了誤報率。算法采用消極學(xué)習(xí)方法,能夠進(jìn)行快速的在線增量學(xué)習(xí),而且其時間復(fù)雜度和空間復(fù)雜度都很低。算法與OANAD模型緊密結(jié)合,具有很強(qiáng)的實用性和較好的檢測能力。在DARPA KDD99入侵檢測數(shù)據(jù)集上進(jìn)行測試,訓(xùn)練集數(shù)據(jù)和測試集數(shù)據(jù)以數(shù)據(jù)流方式順序一次輸入系統(tǒng),在40秒之內(nèi)系統(tǒng)完成所有學(xué)習(xí)和檢測任務(wù),并達(dá)到檢測率91.32％和誤報率0.43％

5、的結(jié)果。根據(jù)現(xiàn)有文獻(xiàn),這個實驗結(jié)果是在KDD99測試全集上相同檢測率下誤報率最小的,同時系統(tǒng)在識別新入侵上也具有良好的表現(xiàn)。
　　 3.提出一種聚類算法k-Cubes用于網(wǎng)絡(luò)應(yīng)用模式的聚類和網(wǎng)絡(luò)異常檢測。算法直接以O(shè)ANAD使用的網(wǎng)絡(luò)應(yīng)用模式為處理對象進(jìn)行聚類,在聚類過程中通過動態(tài)合并與分裂來自動決定聚類的數(shù)目。在此基礎(chǔ)上給出了半監(jiān)督k-Cubes聚類算法,利用少量帶有標(biāo)記的數(shù)據(jù)對聚類中的合并和拆分過程進(jìn)行指導(dǎo),最后根掘聚類的結(jié)

6、果生成檢測規(guī)則。k-Cubes聚類算法適合處理高維并且含有多值字符屬性的大數(shù)據(jù)集數(shù)據(jù),同時具有輸入?yún)?shù)少等特點(diǎn)。在KDD99入侵檢測數(shù)據(jù)集上的實驗結(jié)果顯示,算法獲得了95.82％的檢測率和1.25％的誤報率；并且在識別新入侵的能力上,算法檢測到了17種新入侵中的15種。
　　 4.提出一個基于有監(jiān)督ISODATA聚類的網(wǎng)絡(luò)入侵檢測算法,用于網(wǎng)絡(luò)異常檢測。在三方面對ISODATA算法進(jìn)行了改進(jìn):首先,算法能夠直接處理字符數(shù)字混合屬