在蜜罐中應(yīng)用數(shù)據(jù)挖掘的研究.pdf

1、蜜罐是一種新型的主動防御的安全技術(shù)。它是一個專門為了被攻擊或入侵而設(shè)置的欺騙系統(tǒng)，它既可以用于保護產(chǎn)品系統(tǒng)，又可用于搜集黑客信息，是一種配置靈活、形式多樣的網(wǎng)絡(luò)安全技術(shù)。 蜜罐只收集少量且有價值的數(shù)據(jù)。與入侵檢測系統(tǒng)相比，大大降低了漏報、誤報的發(fā)生，這就可以將注意力集中在數(shù)據(jù)分析方面。對蜜罐系統(tǒng)收集的數(shù)據(jù)采用數(shù)據(jù)挖掘進行分析是提高分析效率的一種有效途徑。數(shù)據(jù)挖掘方法能夠不依賴于規(guī)則，從大量的網(wǎng)絡(luò)數(shù)據(jù)包中提取出人們感興趣的、事先未

2、知的知識和規(guī)律。采用數(shù)據(jù)挖掘的方法對蜜罐收集的數(shù)據(jù)進行分析，利用得到的模式或規(guī)律，還可以進行趨勢分析、攻擊預(yù)測，從而發(fā)現(xiàn)攻擊行為的特征和規(guī)律。 本文嘗試采用數(shù)據(jù)挖掘的方法對蜜罐系統(tǒng)收集到的信息加以挖掘分析。首先構(gòu)建了一個Windows系統(tǒng)下基于虛擬機技術(shù)的研究型蜜網(wǎng)。在單一的物理系統(tǒng)上虛擬地運行整個蜜網(wǎng)，提出了虛擬蜜網(wǎng)的整體架構(gòu)和部署方式，將該系統(tǒng)大體分為系統(tǒng)模擬、數(shù)據(jù)捕獲、數(shù)據(jù)控制和數(shù)據(jù)分析這幾個模塊。 通過對防火墻規(guī)

3、則進行定制實現(xiàn)了蜜網(wǎng)的數(shù)據(jù)控制功能。通過防火墻、入侵檢測系統(tǒng)、主機系統(tǒng)日志實現(xiàn)數(shù)據(jù)捕獲的深度防御體系。利用Winpcap技術(shù)設(shè)計、實現(xiàn)了一個網(wǎng)絡(luò)抓包程序，捕獲通過蜜罐的所有真實網(wǎng)絡(luò)數(shù)據(jù)包，并對數(shù)據(jù)包進行特征提取，導(dǎo)出我們需要進行挖掘的數(shù)據(jù)的標(biāo)準形式。 文中詳細介紹了如何對進行標(biāo)準化處理的數(shù)據(jù)進行序列模式挖掘，找出不同數(shù)據(jù)記錄之間的相關(guān)性以及那些頻繁在一起發(fā)生基于時間的審計數(shù)據(jù)的序列，從中發(fā)現(xiàn)、選取有價值的攻擊規(guī)律。 最后