混合軟件算技術在入侵檢測中的應用研究.pdf

1、傳統(tǒng)的入侵檢測系統(tǒng)(IDS)存在著大量的問題：對未知網(wǎng)絡攻擊檢測能力差、誤報率高、占用資源多；對攻擊數(shù)據(jù)的關聯(lián)和分析功能不足，導致過多的人工參與；對于現(xiàn)在廣泛使用的腳本攻擊防御能力差等。為了在現(xiàn)代高帶寬、大規(guī)模網(wǎng)絡環(huán)境下提高入侵檢測的效率、降低漏報率和誤報率，把智能學習的方法引入到IDS中已成為IDS的重要發(fā)展方向。
　　 軟計算技術主要的包括模糊邏輯(Fuzzy logic，F(xiàn)L)、神經計算(Neural Computing，

2、NC)、進化計算(Evolutionary Computing，EC)和基于概率推理的計算(ProbabilisticComputing，PC)。軟計算技術方面，神經網(wǎng)絡用于入侵檢測的研究較多，多層感知機MLP以及多層BP神經網(wǎng)絡模型和自組織映射網(wǎng)絡SOM，都在入侵檢測應用中取得了良好的實驗效果。遺傳模糊規(guī)則挖掘入侵檢測的工作的主要研究內容為規(guī)則編碼，適應度函數(shù)評價，遺傳算子設計等。人工免疫入侵檢測工作的主要研究內容為抗體編碼，適應度函

3、數(shù)評價，“非我”空間覆蓋程度衡量等。但是負選擇和遺傳過程的基本框架未變。
　　 本論文主要考察結合模糊系統(tǒng)，進化系統(tǒng)(人工免疫系統(tǒng))和神經網(wǎng)絡系統(tǒng)的混合軟計算技術對入侵檢測系統(tǒng)性能的提高。論文的貢獻有四點，(1)用層次自組織映射(SOM)系統(tǒng)提高了U2R攻擊的檢測率；(2)提出遺傳算法優(yōu)化SOM權值的方法，并用該方法提高了新攻擊的檢測率；(3)提出層次SOM和人工免疫系統(tǒng)相結合的混合系統(tǒng)，該系統(tǒng)提高了新攻擊檢測率，同時獲得較低誤

4、報率；(4)對比了傳統(tǒng)支持向量機和基于決策樹的混合支持向量機入侵檢測系統(tǒng)的性能。
　　 論文首先用層次SOM提高了U2R攻擊的檢測率。單層的SOM網(wǎng)絡用于異常檢測時，五種類別的樣本(DOS，Probe，u2r，r21和normal)，存在“交叉”現(xiàn)象，這是導致不同攻擊類型的檢測率不平衡的主要原因。在層次SOM中，層次的增加使U2R和NORMAL樣本“分離”，從而提高了U2R的檢測率。但是normal和r21樣本相似度較高，只有通

5、過主機方法的輔助才能檢測。
　　 其次，論文開展了遺傳自組織映射(SOM)網(wǎng)絡入侵檢測的研究。在SOM網(wǎng)絡入侵檢測的已有工作中，大多數(shù)用SOM網(wǎng)絡進行入侵檢測數(shù)據(jù)的聚類，且關于學習率，網(wǎng)絡結構以及學習算法的討論較多。遺傳算法作為一種全局搜索方法，可有效避免啟發(fā)式算法陷入局部極小點的問題，因此考慮把SOM和遺傳算法相結合，即用遺傳算法來尋找SOM網(wǎng)絡的最優(yōu)連接權矢量初始值。論文的主要工作是：
　　 (1)研究了遺傳算法與自

6、組織映射網(wǎng)絡結合的途徑，仔細設計了針對入侵檢測應用特點的染色體編碼，種群初始化，變異、交叉等遺傳算子以及適應度函數(shù)；(2)分析了遺傳自組織映射網(wǎng)絡算法的時間耗費和穩(wěn)定性問題；(3)研究了遺傳算子求解最優(yōu)連接權矢量的情形。(4)用遺傳SOM提高了新攻擊的檢測率。
　　 提高檢測未知攻擊(自適應)能力是入侵檢測的重要研究方向。人工免疫入侵檢測系統(tǒng)的特點是對新攻擊的檢測能力強。但是人工免疫入侵檢測系統(tǒng)的缺點是訓練時間長，隨機覆蓋“非我

7、”空間，因此單一的人工免疫方法需要和其它智能方法相結合(混合系統(tǒng))，才能更好地提高檢測效率。論文提出一種混合軟計算入侵檢測方法，分為兩個階段：第一階段是用層次自組織映射網(wǎng)絡(SOM)快速學習和檢測已知攻擊。第二階段，用人工免疫系統(tǒng)找到的“異已”空間對層次SOM的判定結果進行二次過濾，增強新攻擊的檢測率。論文首次將模糊邏輯引入人工免疫抗體編碼和適應度評估方式，同時用本地搜索加快搜索速度和精度。實驗證明不管是已知攻擊還是未知攻擊，混合系統(tǒng)的

8、檢測率均優(yōu)于單一的人工免疫，模糊規(guī)則挖掘和層次SOM機制的系統(tǒng)。
　　 最后，論文研究了混合型支持向量機在入侵檢測中的應用。支持向量機(SVM)在入侵檢測中的應用已得到廣泛研究，但是多類SVM存在“不可分區(qū)域”問題，影響檢測效率?；跊Q策樹的多類SVM可以解決這個問題，但是，關于樹SVM在入侵檢測中的應用研究很少。論文的貢獻在于：(1)將多種多類SVM和兩類SVM在檢測率、時間耗費和穩(wěn)定性等各方面作了比較；(2)研究了基于決策樹