混合軟件算技術(shù)在入侵檢測(cè)中的應(yīng)用研究.pdf

1、傳統(tǒng)的入侵檢測(cè)系統(tǒng)(IDS)存在著大量的問(wèn)題：對(duì)未知網(wǎng)絡(luò)攻擊檢測(cè)能力差、誤報(bào)率高、占用資源多；對(duì)攻擊數(shù)據(jù)的關(guān)聯(lián)和分析功能不足，導(dǎo)致過(guò)多的人工參與；對(duì)于現(xiàn)在廣泛使用的腳本攻擊防御能力差等。為了在現(xiàn)代高帶寬、大規(guī)模網(wǎng)絡(luò)環(huán)境下提高入侵檢測(cè)的效率、降低漏報(bào)率和誤報(bào)率，把智能學(xué)習(xí)的方法引入到IDS中已成為IDS的重要發(fā)展方向。
　　 軟計(jì)算技術(shù)主要的包括模糊邏輯(Fuzzy logic，F(xiàn)L)、神經(jīng)計(jì)算(Neural Computing，

2、NC)、進(jìn)化計(jì)算(Evolutionary Computing，EC)和基于概率推理的計(jì)算(ProbabilisticComputing，PC)。軟計(jì)算技術(shù)方面，神經(jīng)網(wǎng)絡(luò)用于入侵檢測(cè)的研究較多，多層感知機(jī)MLP以及多層BP神經(jīng)網(wǎng)絡(luò)模型和自組織映射網(wǎng)絡(luò)SOM，都在入侵檢測(cè)應(yīng)用中取得了良好的實(shí)驗(yàn)效果。遺傳模糊規(guī)則挖掘入侵檢測(cè)的工作的主要研究?jī)?nèi)容為規(guī)則編碼，適應(yīng)度函數(shù)評(píng)價(jià)，遺傳算子設(shè)計(jì)等。人工免疫入侵檢測(cè)工作的主要研究?jī)?nèi)容為抗體編碼，適應(yīng)度函

3、數(shù)評(píng)價(jià)，“非我”空間覆蓋程度衡量等。但是負(fù)選擇和遺傳過(guò)程的基本框架未變。
　　 本論文主要考察結(jié)合模糊系統(tǒng)，進(jìn)化系統(tǒng)(人工免疫系統(tǒng))和神經(jīng)網(wǎng)絡(luò)系統(tǒng)的混合軟計(jì)算技術(shù)對(duì)入侵檢測(cè)系統(tǒng)性能的提高。論文的貢獻(xiàn)有四點(diǎn)，(1)用層次自組織映射(SOM)系統(tǒng)提高了U2R攻擊的檢測(cè)率；(2)提出遺傳算法優(yōu)化SOM權(quán)值的方法，并用該方法提高了新攻擊的檢測(cè)率；(3)提出層次SOM和人工免疫系統(tǒng)相結(jié)合的混合系統(tǒng)，該系統(tǒng)提高了新攻擊檢測(cè)率，同時(shí)獲得較低誤

4、報(bào)率；(4)對(duì)比了傳統(tǒng)支持向量機(jī)和基于決策樹(shù)的混合支持向量機(jī)入侵檢測(cè)系統(tǒng)的性能。
　　 論文首先用層次SOM提高了U2R攻擊的檢測(cè)率。單層的SOM網(wǎng)絡(luò)用于異常檢測(cè)時(shí)，五種類(lèi)別的樣本(DOS，Probe，u2r，r21和normal)，存在“交叉”現(xiàn)象，這是導(dǎo)致不同攻擊類(lèi)型的檢測(cè)率不平衡的主要原因。在層次SOM中，層次的增加使U2R和NORMAL樣本“分離”，從而提高了U2R的檢測(cè)率。但是normal和r21樣本相似度較高，只有通

5、過(guò)主機(jī)方法的輔助才能檢測(cè)。
　　 其次，論文開(kāi)展了遺傳自組織映射(SOM)網(wǎng)絡(luò)入侵檢測(cè)的研究。在SOM網(wǎng)絡(luò)入侵檢測(cè)的已有工作中，大多數(shù)用SOM網(wǎng)絡(luò)進(jìn)行入侵檢測(cè)數(shù)據(jù)的聚類(lèi)，且關(guān)于學(xué)習(xí)率，網(wǎng)絡(luò)結(jié)構(gòu)以及學(xué)習(xí)算法的討論較多。遺傳算法作為一種全局搜索方法，可有效避免啟發(fā)式算法陷入局部極小點(diǎn)的問(wèn)題，因此考慮把SOM和遺傳算法相結(jié)合，即用遺傳算法來(lái)尋找SOM網(wǎng)絡(luò)的最優(yōu)連接權(quán)矢量初始值。論文的主要工作是：
　　 (1)研究了遺傳算法與自

6、組織映射網(wǎng)絡(luò)結(jié)合的途徑，仔細(xì)設(shè)計(jì)了針對(duì)入侵檢測(cè)應(yīng)用特點(diǎn)的染色體編碼，種群初始化，變異、交叉等遺傳算子以及適應(yīng)度函數(shù)；(2)分析了遺傳自組織映射網(wǎng)絡(luò)算法的時(shí)間耗費(fèi)和穩(wěn)定性問(wèn)題；(3)研究了遺傳算子求解最優(yōu)連接權(quán)矢量的情形。(4)用遺傳SOM提高了新攻擊的檢測(cè)率。
　　 提高檢測(cè)未知攻擊(自適應(yīng))能力是入侵檢測(cè)的重要研究方向。人工免疫入侵檢測(cè)系統(tǒng)的特點(diǎn)是對(duì)新攻擊的檢測(cè)能力強(qiáng)。但是人工免疫入侵檢測(cè)系統(tǒng)的缺點(diǎn)是訓(xùn)練時(shí)間長(zhǎng)，隨機(jī)覆蓋“非我

7、”空間，因此單一的人工免疫方法需要和其它智能方法相結(jié)合(混合系統(tǒng))，才能更好地提高檢測(cè)效率。論文提出一種混合軟計(jì)算入侵檢測(cè)方法，分為兩個(gè)階段：第一階段是用層次自組織映射網(wǎng)絡(luò)(SOM)快速學(xué)習(xí)和檢測(cè)已知攻擊。第二階段，用人工免疫系統(tǒng)找到的“異已”空間對(duì)層次SOM的判定結(jié)果進(jìn)行二次過(guò)濾，增強(qiáng)新攻擊的檢測(cè)率。論文首次將模糊邏輯引入人工免疫抗體編碼和適應(yīng)度評(píng)估方式，同時(shí)用本地搜索加快搜索速度和精度。實(shí)驗(yàn)證明不管是已知攻擊還是未知攻擊，混合系統(tǒng)的

8、檢測(cè)率均優(yōu)于單一的人工免疫，模糊規(guī)則挖掘和層次SOM機(jī)制的系統(tǒng)。
　　 最后，論文研究了混合型支持向量機(jī)在入侵檢測(cè)中的應(yīng)用。支持向量機(jī)(SVM)在入侵檢測(cè)中的應(yīng)用已得到廣泛研究，但是多類(lèi)SVM存在“不可分區(qū)域”問(wèn)題，影響檢測(cè)效率?；跊Q策樹(shù)的多類(lèi)SVM可以解決這個(gè)問(wèn)題，但是，關(guān)于樹(shù)SVM在入侵檢測(cè)中的應(yīng)用研究很少。論文的貢獻(xiàn)在于：(1)將多種多類(lèi)SVM和兩類(lèi)SVM在檢測(cè)率、時(shí)間耗費(fèi)和穩(wěn)定性等各方面作了比較；(2)研究了基于決策樹(shù)