網(wǎng)絡(luò)入侵檢測算法的研究.pdf

1、隨著網(wǎng)絡(luò)互聯(lián)技術(shù)的飛速發(fā)展，網(wǎng)絡(luò)安全成為了一個重大問題，隨著INTERNET的發(fā)展，安全系統(tǒng)的要求也與日俱增，其要求之一就是入侵檢測系統(tǒng)。 入侵檢測系統(tǒng)(IDS)目前的發(fā)展還處于幼年期，國產(chǎn)IDS產(chǎn)品更是多處于特征檢測的初級階段，在異常檢測方面與國外還存在相當(dāng)大的差距，在混合檢測領(lǐng)域更是一片空白。入侵檢測作為一種積極主動的安全防護技術(shù)，提供了對內(nèi)部攻擊、外部攻擊和誤操作的實時保護，在網(wǎng)絡(luò)系統(tǒng)受到危害之前攔截和響應(yīng)入侵。從網(wǎng)絡(luò)安全

2、立體縱深、多層次防御的角度出發(fā)，入侵檢測理應(yīng)受到人們的高度重視，這從國外入侵檢測產(chǎn)品市場的蓬勃發(fā)展就可以看出。在國內(nèi)，隨著上網(wǎng)的關(guān)鍵部門、關(guān)鍵業(yè)務(wù)越來越多，迫切需要具有自主版權(quán)的入侵檢測產(chǎn)品。但現(xiàn)狀是入侵檢測還不夠成熟，處于發(fā)展階段，或者是防火墻中集成較為初級的入侵檢測模塊。可見，入侵檢測技術(shù)應(yīng)該進行進一步的研究。 文中分析了傳統(tǒng)SOM算法中的不足，提出一個新的基于競爭的SOM入侵檢測模型；新模型中的算法采用了競爭理論。它首先定

3、義屬于前兩個最佳匹配神經(jīng)元(BMU)，但是不屬于BMU單元1-鄰居的單元作為競爭者，當(dāng)權(quán)向量更新時，競爭者將會同輸入向量遠離。懲罰競爭對手的中心思想是通過移動BMU單元的1-鄰居神經(jīng)元向輸入向量靠近，同時，將同輸入向量相似而又不是BMU1-鄰居的競爭對手單元遠離輸入向量。這樣通過鼓勵BMU神經(jīng)元中的1-鄰居神經(jīng)元在BMU神經(jīng)元中排名靠前的方法，使得拓撲結(jié)構(gòu)的正確率進一步提高，同時增加了映射神經(jīng)元的作用，降低了量化和拓撲的錯誤。理論分析、

4、仿真和實驗研究表明，量化、拓撲能力以及分類性能都有明顯提高。該模型采用了新的邊界檢測方法，首先它利用新的基于競爭的SOM算法形成的視圖矩陣確定分類的初始數(shù)目，然后利用三個分類屬性：含正常樣本的直方圖、密度和同最大聚類中心的距離來定義邊界數(shù)據(jù)。仿真分析和實驗研究驗證了該方法可以有效地實現(xiàn)分類性能。 文中接下來研究了一種新的基于進化式有導(dǎo)師學(xué)習(xí)SOM訓(xùn)練算法，算法很好地解決入侵檢測系統(tǒng)實時性的問題。算法始于一個無節(jié)點的空網(wǎng)絡(luò)，每一個

5、節(jié)點包含一個與輸入空間維度相同的權(quán)向量，映射節(jié)點間的連接權(quán)信息被用來維持相鄰節(jié)點間的鄰居關(guān)系。鄰居關(guān)系的權(quán)值是由連接兩節(jié)點之間的距離決定的。如果距離太大并且超過了一個閾值，連接將會被裁減。這樣特征空間就會被分離并且聚類、邊緣結(jié)構(gòu)就會出現(xiàn)。 文中提出了一種新的基于混沌遺傳特征值選擇算法的檢測模型，它可以同任何一個分類算法結(jié)合實現(xiàn)最適合該算法的最優(yōu)特征集提取。并在KNN算法上進行了實驗研究，驗證了設(shè)計思想的正確性。為了提取非線性的區(qū)

6、分特征，文中提出了改進的基于核的LDA方法，在入侵檢測系統(tǒng)中，通常設(shè)計一個兩類分類器來判斷一個輸入特征是否為正常或非正常。當(dāng)我們直接應(yīng)用KLDA時，正常行為和非正常行為的樣本同樣對待。正常樣本只包括正常行為，可以作為一類對待。但網(wǎng)絡(luò)的非正常數(shù)據(jù)可能包括不同種特征，因此無法作為一類對待。所構(gòu)造的空間無法適合正常行為和非正常行為的分類。而且所構(gòu)造的空間只有一維。為了克服上述的不足，我們采用了一種改進的KLDA方法。論文中首先利用RPCL方法

7、對非正常行為進行分類，然后改變傳統(tǒng)KLDA方法中的區(qū)分標(biāo)準(zhǔn)，新標(biāo)準(zhǔn)規(guī)定正常類的協(xié)方差矩陣最小化，同時正常類中心與各個非正常行為聚類中心的距離協(xié)方差矩陣最大化。仿真分析與實驗結(jié)果驗證了該改進算法的性能。 提出了奇異值分解作為特征表示的方法，并設(shè)計了一種利用模糊集理論的SVM算法，克服了傳統(tǒng)的SVM算法中對邊緣數(shù)據(jù)和噪聲等敏感的不足，同時利用了BOOTSTRAP訓(xùn)練算法解決了由于入侵檢測問題中的非正常行為不確定的問題，以及利用BOO