數(shù)據(jù)挖掘在蜜罐日志分析中的應(yīng)用研究.pdf

1、蜜罐(Honeypot)是一種新型的主動防御的安全技術(shù)。它是一個專門為了被攻擊或入侵而設(shè)置的欺騙系統(tǒng);它既可以用于保護(hù)產(chǎn)品系統(tǒng),又可用于搜集黑客信息,是一種配置靈活、形式多樣的網(wǎng)絡(luò)安全技術(shù)。蜜罐只收集少量且有價值的數(shù)據(jù)。與入侵檢測系統(tǒng)相比,大大降低了漏報、誤報的發(fā)生,這就可以將注意力集中在數(shù)據(jù)分析方面。隨著網(wǎng)絡(luò)攻擊數(shù)量和種類的不斷增加,基于蜜罐的海量攻擊日志分析變得更加困難和耗時,而在分析中使用數(shù)據(jù)挖掘技術(shù)可以有效提高分析效率。數(shù)據(jù)挖掘

2、方法可以是無指導(dǎo)的知識發(fā)現(xiàn)過程(KDD: Knowledge Discovery in Databases),從大量的網(wǎng)絡(luò)數(shù)據(jù)包中提取出人們感興趣的、事先未知的知識和規(guī)律。采用數(shù)據(jù)挖掘的方法對蜜罐收集的數(shù)據(jù)進(jìn)行分析,利用得到的模式或規(guī)律,還可以進(jìn)行趨勢分析、攻擊預(yù)測,從而發(fā)現(xiàn)攻擊行為的特征和規(guī)律。文中首先以開源蜜罐系統(tǒng)Honeyd為例闡述了蜜罐的原理和發(fā)展現(xiàn)狀,然后詳細(xì)介紹了對進(jìn)行了預(yù)處理的日志數(shù)據(jù)進(jìn)行聚類分析、關(guān)聯(lián)規(guī)則挖掘和序列模式挖