在蜜罐中應(yīng)用數(shù)據(jù)挖掘的研究.pdf

1、蜜罐是一種新型的主動(dòng)防御的安全技術(shù)。它是一個(gè)專(zhuān)門(mén)為了被攻擊或入侵而設(shè)置的欺騙系統(tǒng)，它既可以用于保護(hù)產(chǎn)品系統(tǒng)，又可用于搜集黑客信息，是一種配置靈活、形式多樣的網(wǎng)絡(luò)安全技術(shù)。 蜜罐只收集少量且有價(jià)值的數(shù)據(jù)。與入侵檢測(cè)系統(tǒng)相比，大大降低了漏報(bào)、誤報(bào)的發(fā)生，這就可以將注意力集中在數(shù)據(jù)分析方面。對(duì)蜜罐系統(tǒng)收集的數(shù)據(jù)采用數(shù)據(jù)挖掘進(jìn)行分析是提高分析效率的一種有效途徑。數(shù)據(jù)挖掘方法能夠不依賴(lài)于規(guī)則，從大量的網(wǎng)絡(luò)數(shù)據(jù)包中提取出人們感興趣的、事先未

2、知的知識(shí)和規(guī)律。采用數(shù)據(jù)挖掘的方法對(duì)蜜罐收集的數(shù)據(jù)進(jìn)行分析，利用得到的模式或規(guī)律，還可以進(jìn)行趨勢(shì)分析、攻擊預(yù)測(cè)，從而發(fā)現(xiàn)攻擊行為的特征和規(guī)律。 本文嘗試采用數(shù)據(jù)挖掘的方法對(duì)蜜罐系統(tǒng)收集到的信息加以挖掘分析。首先構(gòu)建了一個(gè)Windows系統(tǒng)下基于虛擬機(jī)技術(shù)的研究型蜜網(wǎng)。在單一的物理系統(tǒng)上虛擬地運(yùn)行整個(gè)蜜網(wǎng)，提出了虛擬蜜網(wǎng)的整體架構(gòu)和部署方式，將該系統(tǒng)大體分為系統(tǒng)模擬、數(shù)據(jù)捕獲、數(shù)據(jù)控制和數(shù)據(jù)分析這幾個(gè)模塊。 通過(guò)對(duì)防火墻規(guī)

3、則進(jìn)行定制實(shí)現(xiàn)了蜜網(wǎng)的數(shù)據(jù)控制功能。通過(guò)防火墻、入侵檢測(cè)系統(tǒng)、主機(jī)系統(tǒng)日志實(shí)現(xiàn)數(shù)據(jù)捕獲的深度防御體系。利用Winpcap技術(shù)設(shè)計(jì)、實(shí)現(xiàn)了一個(gè)網(wǎng)絡(luò)抓包程序，捕獲通過(guò)蜜罐的所有真實(shí)網(wǎng)絡(luò)數(shù)據(jù)包，并對(duì)數(shù)據(jù)包進(jìn)行特征提取，導(dǎo)出我們需要進(jìn)行挖掘的數(shù)據(jù)的標(biāo)準(zhǔn)形式。 文中詳細(xì)介紹了如何對(duì)進(jìn)行標(biāo)準(zhǔn)化處理的數(shù)據(jù)進(jìn)行序列模式挖掘，找出不同數(shù)據(jù)記錄之間的相關(guān)性以及那些頻繁在一起發(fā)生基于時(shí)間的審計(jì)數(shù)據(jù)的序列，從中發(fā)現(xiàn)、選取有價(jià)值的攻擊規(guī)律。 最后