基于頻繁模式挖掘的網(wǎng)絡(luò)攻擊檢測(cè)及特征發(fā)現(xiàn).pdf

1、近年來(lái)，隨著網(wǎng)民數(shù)量的快速增長(zhǎng)，各種網(wǎng)絡(luò)服務(wù)的層出不窮，網(wǎng)絡(luò)流量隨之不斷增大，網(wǎng)絡(luò)行為也變得越來(lái)越復(fù)雜。惡意流量、惡意行為也隨之到來(lái)，如DoS(拒絕服務(wù)攻擊，Denial of Service)、蠕蟲(chóng)病毒等，已經(jīng)成為大規(guī)模高速網(wǎng)絡(luò)的普遍威脅，嚴(yán)重干擾了Internet的正常運(yùn)行，造成了巨額的經(jīng)濟(jì)損失。 本文在總結(jié)了目前網(wǎng)絡(luò)攻擊的基本原理、步驟和常用手段的基礎(chǔ)上，詳細(xì)探討了蠕蟲(chóng)和拒絕服務(wù)攻擊這兩種大規(guī)模攻擊類(lèi)型的特性，提出了基于I

2、P流的網(wǎng)絡(luò)攻擊檢測(cè)模型，研究了數(shù)據(jù)挖掘中頻繁模式挖掘算法的改進(jìn)算法，并將改進(jìn)的算法運(yùn)用到了蠕蟲(chóng)和拒絕服務(wù)攻擊檢測(cè)及攻擊特性發(fā)現(xiàn)工作中。 首先，在討論了頻繁模式挖掘經(jīng)典算法的基礎(chǔ)上，針對(duì)FP—Growth算法的不足，研究了基于候選組合頻繁模式的頻繁模式挖掘算法，通過(guò)構(gòu)造候選頻繁模式，在FP樹(shù)路徑中進(jìn)行匹配來(lái)挖掘頻繁模式。改進(jìn)算法無(wú)需生成條件模式樹(shù)，并利用了并查集這種數(shù)據(jù)結(jié)構(gòu)適合用作元素快速查詢和插入的特性，同時(shí)根據(jù)先驗(yàn)原理進(jìn)行候選

3、模式的剪枝，實(shí)驗(yàn)表明，該算法優(yōu)于FP—Growth算法。 然后，研究了基于FP—Tree的最大頻繁模式挖掘算法，同樣將FP樹(shù)路徑映射到并查集數(shù)據(jù)結(jié)構(gòu)中，將自頂向下的剪枝策略和自底向上的匹配挖掘策略相結(jié)合，實(shí)驗(yàn)數(shù)據(jù)表明，該算法能較快地挖掘最大頻繁模式。 接著，提出了基于NetFlow流數(shù)據(jù)的蠕蟲(chóng)和拒絕服務(wù)攻擊檢測(cè)系統(tǒng)模型，為了提高檢測(cè)的實(shí)時(shí)性，首先采用了基于流長(zhǎng)分布相關(guān)性分析的可疑數(shù)據(jù)段的發(fā)現(xiàn)方法，接著研究了基于四次哈希散

4、列的網(wǎng)絡(luò)流數(shù)據(jù)統(tǒng)計(jì)算法，統(tǒng)計(jì)了可疑數(shù)據(jù)段中每個(gè)用戶的網(wǎng)絡(luò)使用狀況，進(jìn)而發(fā)現(xiàn)可疑用戶并對(duì)這些用戶數(shù)據(jù)進(jìn)行挖掘分析，從而大大減少了后續(xù)挖掘工作所要處理的數(shù)據(jù)量。在發(fā)現(xiàn)可疑主機(jī)和數(shù)據(jù)段的基礎(chǔ)上，將改進(jìn)的頻繁模式挖掘算法分別運(yùn)用到蠕蟲(chóng)和拒絕服務(wù)攻擊檢測(cè)和特性發(fā)現(xiàn)工作中，實(shí)驗(yàn)表明，該檢測(cè)模型體系能達(dá)到較好的檢測(cè)效果。 最后，用Java實(shí)現(xiàn)了攻擊檢測(cè)的原型軟件系統(tǒng)。 運(yùn)用本文提出的攻擊檢測(cè)模型和檢測(cè)方法，改進(jìn)了以往直接對(duì)網(wǎng)絡(luò)報(bào)文或主