基于數(shù)據(jù)挖掘的網(wǎng)絡(luò)數(shù)據(jù)庫(kù)入侵檢測(cè)系統(tǒng).pdf

1、隨著網(wǎng)絡(luò)技術(shù)的發(fā)展，網(wǎng)絡(luò)環(huán)境變得越來(lái)越復(fù)雜，對(duì)于網(wǎng)絡(luò)安全來(lái)說(shuō)，單純的防火墻技術(shù)暴露出明顯的不足和弱點(diǎn)，如無(wú)法解決安全后門問題；不能阻止網(wǎng)絡(luò)內(nèi)部攻擊(調(diào)查發(fā)現(xiàn)，50％以上的攻擊都來(lái)自內(nèi)部)；不能提供實(shí)時(shí)入侵檢測(cè)能力；對(duì)于病毒束手無(wú)策等。因此很多組織致力于提出更多更強(qiáng)大的主動(dòng)策略和方案來(lái)增強(qiáng)網(wǎng)絡(luò)的安全性，其中一個(gè)有效的解決途徑就是入侵檢測(cè)。
　　入侵檢測(cè)就是識(shí)別那些非授權(quán)使用計(jì)算機(jī)系統(tǒng)的個(gè)體（如黑客）和雖然有合法授權(quán)但濫用其權(quán)限的用戶

2、（如內(nèi)部攻擊）。一個(gè)完善的入侵檢測(cè)系統(tǒng)（IDS-Intrusion Detection System）可以通過(guò)如記錄證據(jù)、跟蹤入侵、恢復(fù)或斷開網(wǎng)絡(luò)連接等手段來(lái)彌補(bǔ)防火墻的不足，進(jìn)而提高網(wǎng)絡(luò)安全性的主動(dòng)性。根據(jù)檢測(cè)方法，入侵檢測(cè)分為兩大模式：誤用檢測(cè)（Misuse Detection）和異常檢測(cè)（Abnormally Detection）.誤用檢測(cè)是通過(guò)建立已知的攻擊行為的特征庫(kù)，與當(dāng)前模式進(jìn)行匹配，如果匹配成功，則說(shuō)明發(fā)生入侵。它的優(yōu)點(diǎn)

3、是檢測(cè)準(zhǔn)確率較高，缺點(diǎn)是只能對(duì)已知攻擊類型和已知系統(tǒng)安全漏洞進(jìn)行檢測(cè)，對(duì)未知攻擊不能檢測(cè)。異常檢測(cè)是將正常用戶行為特征輪廓和實(shí)際用戶行為進(jìn)行比較，并標(biāo)識(shí)出正常和非正常的偏離。根據(jù)兩者的偏離量的大小，來(lái)判斷是否發(fā)生了異常.它的優(yōu)點(diǎn)是能檢測(cè)未知的攻擊類型，缺點(diǎn)是誤檢率較高。現(xiàn)有的入侵檢測(cè)系統(tǒng)大都采用專家系統(tǒng)或基于統(tǒng)計(jì)的方法，這種方法的缺點(diǎn)是其規(guī)則庫(kù)的建立依賴于較多的直覺與經(jīng)驗(yàn)，并且對(duì)某些攻擊類型的檢測(cè)效果并不理想。
　　由于數(shù)據(jù)挖掘能

4、夠從海量數(shù)據(jù)中集中挖掘出人們感興趣的特定模式，因此，有大量的研究計(jì)劃將數(shù)據(jù)挖掘技術(shù)運(yùn)用到入侵檢測(cè)中，這些研究大大推動(dòng)了入侵檢測(cè)研究領(lǐng)域的快速發(fā)展。本論文的研究目標(biāo)是借用數(shù)據(jù)挖掘技術(shù)探尋一種檢測(cè)方法，使之有效識(shí)別已知入侵，并具備對(duì)未知類型數(shù)據(jù)的檢測(cè)能力，從而達(dá)到對(duì)在傳統(tǒng)入侵檢測(cè)系統(tǒng)中檢測(cè)率較低的掃描與拒絕服務(wù)兩種攻擊類型較為理想的檢測(cè)效果。
　　鑒于誤用檢測(cè)不能發(fā)現(xiàn)未知入侵、異常檢測(cè)具有較高誤報(bào)率的現(xiàn)狀以及數(shù)據(jù)挖掘的優(yōu)勢(shì)，本文給出了

5、一個(gè)將誤用檢測(cè)和異常檢測(cè)相結(jié)合，采用數(shù)據(jù)挖掘技術(shù)的檢測(cè)方法，從網(wǎng)絡(luò)歷史審計(jì)數(shù)據(jù)里應(yīng)用決策樹算法分別得到正常與異常行為規(guī)則庫(kù)。待檢測(cè)數(shù)據(jù)與正常及異常行為規(guī)則分別進(jìn)行比較，從中得到最優(yōu)匹配規(guī)則，從而判別該行為類型是正常行為還是異常行為。為了避免因主機(jī)之間行為存在較大差異而引起的誤判，在本文中提出以網(wǎng)絡(luò)歷史審計(jì)數(shù)據(jù)為數(shù)據(jù)源，統(tǒng)計(jì)網(wǎng)絡(luò)中各主機(jī)單位時(shí)間內(nèi)訪問量，依據(jù)聚類算法將主機(jī)按訪問量聚類建立IP群，以指導(dǎo)網(wǎng)絡(luò)審計(jì)數(shù)據(jù)的分流，以分流后的審計(jì)數(shù)據(jù)