基于數據挖掘的網絡數據庫入侵檢測系統.pdf

1、隨著網絡技術的發(fā)展，網絡環(huán)境變得越來越復雜，對于網絡安全來說，單純的防火墻技術暴露出明顯的不足和弱點，如無法解決安全后門問題；不能阻止網絡內部攻擊(調查發(fā)現，50％以上的攻擊都來自內部)；不能提供實時入侵檢測能力；對于病毒束手無策等。因此很多組織致力于提出更多更強大的主動策略和方案來增強網絡的安全性，其中一個有效的解決途徑就是入侵檢測。
　　入侵檢測就是識別那些非授權使用計算機系統的個體（如黑客）和雖然有合法授權但濫用其權限的用戶

2、（如內部攻擊）。一個完善的入侵檢測系統（IDS-Intrusion Detection System）可以通過如記錄證據、跟蹤入侵、恢復或斷開網絡連接等手段來彌補防火墻的不足，進而提高網絡安全性的主動性。根據檢測方法，入侵檢測分為兩大模式：誤用檢測（Misuse Detection）和異常檢測（Abnormally Detection）.誤用檢測是通過建立已知的攻擊行為的特征庫，與當前模式進行匹配，如果匹配成功，則說明發(fā)生入侵。它的優(yōu)點

3、是檢測準確率較高，缺點是只能對已知攻擊類型和已知系統安全漏洞進行檢測，對未知攻擊不能檢測。異常檢測是將正常用戶行為特征輪廓和實際用戶行為進行比較，并標識出正常和非正常的偏離。根據兩者的偏離量的大小，來判斷是否發(fā)生了異常.它的優(yōu)點是能檢測未知的攻擊類型，缺點是誤檢率較高?，F有的入侵檢測系統大都采用專家系統或基于統計的方法，這種方法的缺點是其規(guī)則庫的建立依賴于較多的直覺與經驗，并且對某些攻擊類型的檢測效果并不理想。
　　由于數據挖掘能

4、夠從海量數據中集中挖掘出人們感興趣的特定模式，因此，有大量的研究計劃將數據挖掘技術運用到入侵檢測中，這些研究大大推動了入侵檢測研究領域的快速發(fā)展。本論文的研究目標是借用數據挖掘技術探尋一種檢測方法，使之有效識別已知入侵，并具備對未知類型數據的檢測能力，從而達到對在傳統入侵檢測系統中檢測率較低的掃描與拒絕服務兩種攻擊類型較為理想的檢測效果。
　　鑒于誤用檢測不能發(fā)現未知入侵、異常檢測具有較高誤報率的現狀以及數據挖掘的優(yōu)勢，本文給出了

5、一個將誤用檢測和異常檢測相結合，采用數據挖掘技術的檢測方法，從網絡歷史審計數據里應用決策樹算法分別得到正常與異常行為規(guī)則庫。待檢測數據與正常及異常行為規(guī)則分別進行比較，從中得到最優(yōu)匹配規(guī)則，從而判別該行為類型是正常行為還是異常行為。為了避免因主機之間行為存在較大差異而引起的誤判，在本文中提出以網絡歷史審計數據為數據源，統計網絡中各主機單位時間內訪問量，依據聚類算法將主機按訪問量聚類建立IP群，以指導網絡審計數據的分流，以分流后的審計數據