基于數(shù)據(jù)挖掘的網(wǎng)絡(luò)數(shù)據(jù)庫入侵檢測系統(tǒng).pdf

1、隨著網(wǎng)絡(luò)技術(shù)的發(fā)展，網(wǎng)絡(luò)環(huán)境變得越來越復(fù)雜，對于網(wǎng)絡(luò)安全來說，單純的防火墻技術(shù)暴露出明顯的不足和弱點(diǎn)，如無法解決安全后門問題；不能阻止網(wǎng)絡(luò)內(nèi)部攻擊(調(diào)查發(fā)現(xiàn)，50％以上的攻擊都來自內(nèi)部)；不能提供實(shí)時(shí)入侵檢測能力；對于病毒束手無策等。因此很多組織致力于提出更多更強(qiáng)大的主動(dòng)策略和方案來增強(qiáng)網(wǎng)絡(luò)的安全性，其中一個(gè)有效的解決途徑就是入侵檢測。
　　入侵檢測就是識別那些非授權(quán)使用計(jì)算機(jī)系統(tǒng)的個(gè)體（如黑客）和雖然有合法授權(quán)但濫用其權(quán)限的用戶

2、（如內(nèi)部攻擊）。一個(gè)完善的入侵檢測系統(tǒng)（IDS-Intrusion Detection System）可以通過如記錄證據(jù)、跟蹤入侵、恢復(fù)或斷開網(wǎng)絡(luò)連接等手段來彌補(bǔ)防火墻的不足，進(jìn)而提高網(wǎng)絡(luò)安全性的主動(dòng)性。根據(jù)檢測方法，入侵檢測分為兩大模式：誤用檢測（Misuse Detection）和異常檢測（Abnormally Detection）.誤用檢測是通過建立已知的攻擊行為的特征庫，與當(dāng)前模式進(jìn)行匹配，如果匹配成功，則說明發(fā)生入侵。它的優(yōu)點(diǎn)

3、是檢測準(zhǔn)確率較高，缺點(diǎn)是只能對已知攻擊類型和已知系統(tǒng)安全漏洞進(jìn)行檢測，對未知攻擊不能檢測。異常檢測是將正常用戶行為特征輪廓和實(shí)際用戶行為進(jìn)行比較，并標(biāo)識出正常和非正常的偏離。根據(jù)兩者的偏離量的大小，來判斷是否發(fā)生了異常.它的優(yōu)點(diǎn)是能檢測未知的攻擊類型，缺點(diǎn)是誤檢率較高。現(xiàn)有的入侵檢測系統(tǒng)大都采用專家系統(tǒng)或基于統(tǒng)計(jì)的方法，這種方法的缺點(diǎn)是其規(guī)則庫的建立依賴于較多的直覺與經(jīng)驗(yàn)，并且對某些攻擊類型的檢測效果并不理想。
　　由于數(shù)據(jù)挖掘能

4、夠從海量數(shù)據(jù)中集中挖掘出人們感興趣的特定模式，因此，有大量的研究計(jì)劃將數(shù)據(jù)挖掘技術(shù)運(yùn)用到入侵檢測中，這些研究大大推動(dòng)了入侵檢測研究領(lǐng)域的快速發(fā)展。本論文的研究目標(biāo)是借用數(shù)據(jù)挖掘技術(shù)探尋一種檢測方法，使之有效識別已知入侵，并具備對未知類型數(shù)據(jù)的檢測能力，從而達(dá)到對在傳統(tǒng)入侵檢測系統(tǒng)中檢測率較低的掃描與拒絕服務(wù)兩種攻擊類型較為理想的檢測效果。
　　鑒于誤用檢測不能發(fā)現(xiàn)未知入侵、異常檢測具有較高誤報(bào)率的現(xiàn)狀以及數(shù)據(jù)挖掘的優(yōu)勢，本文給出了

5、一個(gè)將誤用檢測和異常檢測相結(jié)合，采用數(shù)據(jù)挖掘技術(shù)的檢測方法，從網(wǎng)絡(luò)歷史審計(jì)數(shù)據(jù)里應(yīng)用決策樹算法分別得到正常與異常行為規(guī)則庫。待檢測數(shù)據(jù)與正常及異常行為規(guī)則分別進(jìn)行比較，從中得到最優(yōu)匹配規(guī)則，從而判別該行為類型是正常行為還是異常行為。為了避免因主機(jī)之間行為存在較大差異而引起的誤判，在本文中提出以網(wǎng)絡(luò)歷史審計(jì)數(shù)據(jù)為數(shù)據(jù)源，統(tǒng)計(jì)網(wǎng)絡(luò)中各主機(jī)單位時(shí)間內(nèi)訪問量，依據(jù)聚類算法將主機(jī)按訪問量聚類建立IP群，以指導(dǎo)網(wǎng)絡(luò)審計(jì)數(shù)據(jù)的分流，以分流后的審計(jì)數(shù)據(jù)