在線自適應(yīng)網(wǎng)絡(luò)異常檢測(cè)系統(tǒng)模型與相關(guān)算法研究.pdf

1、隨著計(jì)算機(jī)網(wǎng)絡(luò)應(yīng)用的日益增多,安全問(wèn)題越來(lái)越突出。網(wǎng)絡(luò)入侵可能會(huì)對(duì)計(jì)算機(jī)網(wǎng)絡(luò)造成嚴(yán)重的破壞,因此對(duì)具有主動(dòng)防御特征的入侵檢測(cè)系統(tǒng)的需求日趨緊迫。與傳統(tǒng)的防火墻、反病毒軟件不同,入侵檢測(cè)系統(tǒng)能夠主動(dòng)對(duì)網(wǎng)絡(luò)和用戶行為進(jìn)行監(jiān)控,發(fā)現(xiàn)對(duì)系統(tǒng)的非法使用和入侵行為,從而提供對(duì)系統(tǒng)的保護(hù)。在過(guò)去的十多年間,基于誤用的檢測(cè)得到大量應(yīng)用,因?yàn)檫@種技術(shù)易于實(shí)現(xiàn),并且具有較低的誤報(bào)率,因此實(shí)用性較強(qiáng)。但是基于異常的檢測(cè)技術(shù)具有發(fā)現(xiàn)新入侵的能力,近年來(lái)受到了越

2、來(lái)越多的重視。另外,在高速網(wǎng)絡(luò)環(huán)境下網(wǎng)絡(luò)流量不斷增加,多數(shù)入侵檢測(cè)算法已經(jīng)不能滿足對(duì)實(shí)時(shí)處理能力的需要。黑客技術(shù)的不斷發(fā)展以及網(wǎng)絡(luò)應(yīng)用環(huán)境的變化,也對(duì)入侵檢測(cè)系統(tǒng)的檢測(cè)性能和自適應(yīng)性提出了更高的要求。
　　 本文以提高入侵檢測(cè)系統(tǒng)的運(yùn)行效率,增強(qiáng)自適應(yīng)能力以及提高檢測(cè)能力為技術(shù)目標(biāo),在系統(tǒng)模型設(shè)計(jì)、檢測(cè)技術(shù)的綜合應(yīng)用以及檢測(cè)算法的設(shè)計(jì)等方面進(jìn)行了深入的研究,取得了一些創(chuàng)新性的研究成果,主要內(nèi)容包括:
　　 1.提出一個(gè)輕

3、量級(jí)的在線自適應(yīng)網(wǎng)絡(luò)異常檢測(cè)系統(tǒng)模型(OANAD)。系統(tǒng)能夠?qū)?shí)時(shí)網(wǎng)絡(luò)數(shù)據(jù)流進(jìn)行在線學(xué)習(xí)和檢測(cè),在少量指導(dǎo)下逐漸構(gòu)建網(wǎng)絡(luò)的正常模式庫(kù)和入侵模式庫(kù),并根據(jù)網(wǎng)絡(luò)使用特點(diǎn)動(dòng)態(tài)進(jìn)行模式更新。系統(tǒng)結(jié)構(gòu)同時(shí)體現(xiàn)了異常檢測(cè)系統(tǒng)和誤用檢測(cè)系統(tǒng)的特點(diǎn)。OANAD使用基于網(wǎng)格的方法表達(dá)網(wǎng)絡(luò)應(yīng)用模式,同時(shí)配合簡(jiǎn)潔高效的運(yùn)行機(jī)制,較好地滿足了在線處理網(wǎng)絡(luò)數(shù)據(jù)對(duì)系統(tǒng)運(yùn)行效率的要求。
　　 2.提出一個(gè)基于模式影響度的網(wǎng)絡(luò)異常檢測(cè)算法PIAD。算法將異常檢

4、測(cè)技術(shù)與誤用檢測(cè)技術(shù)有機(jī)地結(jié)合在一起,不但能夠檢測(cè)到新入侵,而且在保持較高的檢測(cè)率的同時(shí)有效控制了誤報(bào)率。算法采用消極學(xué)習(xí)方法,能夠進(jìn)行快速的在線增量學(xué)習(xí),而且其時(shí)間復(fù)雜度和空間復(fù)雜度都很低。算法與OANAD模型緊密結(jié)合,具有很強(qiáng)的實(shí)用性和較好的檢測(cè)能力。在DARPA KDD99入侵檢測(cè)數(shù)據(jù)集上進(jìn)行測(cè)試,訓(xùn)練集數(shù)據(jù)和測(cè)試集數(shù)據(jù)以數(shù)據(jù)流方式順序一次輸入系統(tǒng),在40秒之內(nèi)系統(tǒng)完成所有學(xué)習(xí)和檢測(cè)任務(wù),并達(dá)到檢測(cè)率91.32％和誤報(bào)率0.43％

5、的結(jié)果。根據(jù)現(xiàn)有文獻(xiàn),這個(gè)實(shí)驗(yàn)結(jié)果是在KDD99測(cè)試全集上相同檢測(cè)率下誤報(bào)率最小的,同時(shí)系統(tǒng)在識(shí)別新入侵上也具有良好的表現(xiàn)。
　　 3.提出一種聚類算法k-Cubes用于網(wǎng)絡(luò)應(yīng)用模式的聚類和網(wǎng)絡(luò)異常檢測(cè)。算法直接以O(shè)ANAD使用的網(wǎng)絡(luò)應(yīng)用模式為處理對(duì)象進(jìn)行聚類,在聚類過(guò)程中通過(guò)動(dòng)態(tài)合并與分裂來(lái)自動(dòng)決定聚類的數(shù)目。在此基礎(chǔ)上給出了半監(jiān)督k-Cubes聚類算法,利用少量帶有標(biāo)記的數(shù)據(jù)對(duì)聚類中的合并和拆分過(guò)程進(jìn)行指導(dǎo),最后根掘聚類的結(jié)

6、果生成檢測(cè)規(guī)則。k-Cubes聚類算法適合處理高維并且含有多值字符屬性的大數(shù)據(jù)集數(shù)據(jù),同時(shí)具有輸入?yún)?shù)少等特點(diǎn)。在KDD99入侵檢測(cè)數(shù)據(jù)集上的實(shí)驗(yàn)結(jié)果顯示,算法獲得了95.82％的檢測(cè)率和1.25％的誤報(bào)率；并且在識(shí)別新入侵的能力上,算法檢測(cè)到了17種新入侵中的15種。
　　 4.提出一個(gè)基于有監(jiān)督ISODATA聚類的網(wǎng)絡(luò)入侵檢測(cè)算法,用于網(wǎng)絡(luò)異常檢測(cè)。在三方面對(duì)ISODATA算法進(jìn)行了改進(jìn):首先,算法能夠直接處理字符數(shù)字混合屬