Agent和神經(jīng)網(wǎng)絡(luò)相結(jié)合的入侵檢測(cè)系統(tǒng)研究.pdf

1、隨著計(jì)算機(jī)技術(shù)和網(wǎng)絡(luò)技術(shù)的迅速發(fā)展，針對(duì)計(jì)算機(jī)和網(wǎng)絡(luò)的攻擊也逐漸增多，手段也變得更加復(fù)雜和隱蔽，安全問題越來越受到人們的重視。相對(duì)于防火墻和數(shù)據(jù)加密來說，入侵檢測(cè)是一種主動(dòng)的安全防御措施，能夠在更大程度上保護(hù)用戶信息安全[1]，但是現(xiàn)有的入侵檢測(cè)系統(tǒng)仍有諸多缺陷：首先是無法應(yīng)對(duì)高速傳輸速率和海量數(shù)據(jù)；其次，不能及時(shí)有效地檢測(cè)出變異的攻擊或新型的攻擊手段。這些問題嚴(yán)重制約了入侵檢測(cè)系統(tǒng)的發(fā)展和普及。 本文在對(duì)IDS(Intrusi

2、on Detection System)進(jìn)行系統(tǒng)的研究的基礎(chǔ)上，對(duì)神經(jīng)網(wǎng)絡(luò)和Agent在入侵檢測(cè)系統(tǒng)中的應(yīng)用現(xiàn)狀進(jìn)了深入的分析，主要進(jìn)行了以下工作： (1)基于入侵檢測(cè)通用框架(CIDF，Common Intrusion Detection Framework)提出了Agent和神經(jīng)網(wǎng)絡(luò)相結(jié)合的入侵檢測(cè)模型IDS-AN(Intrusion Detection System based on the integration of

3、Agent and Neural network)。按照CIDF框架設(shè)計(jì)不同的代理，通信協(xié)議采用一套嚴(yán)格定義的通信規(guī)則和數(shù)據(jù)格式(GIDO Generalized Intrusion Detection Objects)。各種功能的Agent和MA平臺(tái)有著標(biāo)準(zhǔn)的協(xié)商協(xié)議，代理可以進(jìn)行動(dòng)態(tài)創(chuàng)建。 (2)提出了NN(神經(jīng)網(wǎng)絡(luò)Neural Network)和Agent相結(jié)合的檢測(cè)方式。Agent主要采用基于規(guī)則的檢測(cè)方式，對(duì)己知的攻擊

4、可得到較好的檢測(cè)效果；NN主要采用基于異常的檢測(cè)方式，對(duì)于具有新的特征的攻擊在一定范圍內(nèi)可檢測(cè)出來。把它們的優(yōu)勢(shì)相結(jié)合，來確保最大的檢測(cè)準(zhǔn)確性，盡可能地降低漏報(bào)率和誤報(bào)率。 (3)針對(duì)神經(jīng)網(wǎng)絡(luò)收斂速度慢的問題，降低了求權(quán)的次數(shù)，并設(shè)計(jì)了自適應(yīng)動(dòng)量項(xiàng)?；诟倪M(jìn)的BP神經(jīng)網(wǎng)絡(luò)設(shè)計(jì)入侵檢測(cè)Agent(IDA Intrusion Detection Agent)。采用網(wǎng)絡(luò)數(shù)據(jù)包或日志為數(shù)據(jù)源，BP神經(jīng)網(wǎng)絡(luò)先經(jīng)過訓(xùn)練，再對(duì)輸入的向量進(jìn)行判

5、別，以判斷出是否是攻擊行為，使得IDA具有自治和自適應(yīng)的特性。 (4)對(duì)IDA進(jìn)行了標(biāo)準(zhǔn)化。各種功能的Agent和MA平臺(tái)采用標(biāo)準(zhǔn)的通信接口通信，因此，它們的設(shè)計(jì)為系統(tǒng)的分布式部署和系統(tǒng)的擴(kuò)充性實(shí)現(xiàn)做了充分的考慮，同時(shí)入侵檢測(cè)層可有基于不同神經(jīng)網(wǎng)絡(luò)的IDA，不同IDA的功能更加單一。功能的單一性帶來的好處是使得對(duì)某一種入侵行為的檢測(cè)趨于標(biāo)準(zhǔn)化。同時(shí)，每一個(gè)代理功能的加強(qiáng)都不會(huì)影響系統(tǒng)的其他部分。由于各個(gè)代理有著標(biāo)準(zhǔn)的通信協(xié)議接口