基于異常挖掘的網(wǎng)絡(luò)入侵檢測.pdf

1、當前,入侵檢測系統(tǒng)已經(jīng)成為信息安全整體架構(gòu)必不可少的一道重要防線。不同于防火墻等其他網(wǎng)絡(luò)安全組件和產(chǎn)品,入侵檢測系統(tǒng)要求具有更多的智能。然而調(diào)查表明,當前投入使用的入侵檢測系統(tǒng)在檢測性能、對分布式攻擊的檢測能力等方面遠遠不能滿足實際需要。另一方面,不同網(wǎng)絡(luò)環(huán)境對入侵檢測系統(tǒng)的架構(gòu)設(shè)計和可靠性提出了不同的要求,特別是在大規(guī)模、高速網(wǎng)絡(luò)環(huán)境下,由于在數(shù)據(jù)存儲和處理上的局限性,目前大多數(shù)入侵檢測系統(tǒng)存在丟包漏檢現(xiàn)象,導(dǎo)致漏報率較高,檢測率較低

2、。
　　 本文提出一個校園網(wǎng)環(huán)境下的分布式網(wǎng)絡(luò)入侵檢測系統(tǒng),由分布的智能本地代理和一個中央代理組成,在各網(wǎng)段部署具有自主行為的本地代理,采用改進的基于聚類的異常挖掘方法區(qū)分正常網(wǎng)絡(luò)活動和異常行為,而中央代理集中處理各本地代理發(fā)出的告警消息,并負責整體的分析決策。在大規(guī)模高速校園網(wǎng)環(huán)境下,各網(wǎng)段的智能代理只處理本地網(wǎng)絡(luò)數(shù)據(jù)包,避免了漏檢；各代理采用基于聚類的異常挖掘方法,能夠有效地檢測出分布式攻擊,如拒絕服務(wù)攻擊DDoS。中央代理