入侵检测中双层次模式匹配研究与应用.pdfVIP

广西民族大学学报【自然科学版) 第19卷第1期 JoURNALOFGUANGXlUNIVERSITYFoRNATIONALITⅡ嗒 V01．19NO．1 2013年3月 (Nat哪lScien∞Emtion) Mar．2013 入侵检测中双层次模式匹配 研究与应用’ 孙旭东1，张 萍2 (1．南宁市第六人民医院，广西南宁530000； 2．广西水利电力职业技术学院，广西南宁 530023) 摘 要：针对现有入侵检测系统在模式建立与匹配方法中存在的不足，改进了一种入侵检测系统的模式 建立与匹配方法．根据数据样本的数据属性特征，采用双层次聚类方法对数据样本进行分析，建 立基于行为索引的系统安全模式，避免对数据属性进行分析时，造成数据关键信息的丢失，降低 入侵检测系统的误报率和漏报率． 关键词：入侵检测；模式匹配；双层次模式；行为索引 中图分类号：TP393．08文献标识码：A文章编号：1673—8462(2013)01—0075—04 O 引言 来监视入侵威胁． 随着计算机技术的飞速发展，信息技术给社会生 1987年，DorothyDenning在山 J挖f，一甜5iD超 活的各个领域带来了极其深远的影响，但信息安全问 题也日益突出．网络入侵的来源是多种多样的，他可 系统商业产品的理论基础． 能是来自网络内部的成员，也可能是藏身于世界某个 DorothyDenning给出了一种入侵检测系统框 角落的黑客．传统的安全技术虽然可以在一定程度上 架，简称IDES模型．如图1所示： 有效地防范外来攻击者的破坏行为，但它们对于来自 内部的攻击和误操作却无能为力．虽然可以通过杀毒 规劓更新 软件和防火墙过滤、应用层网关以及虚拟网技术来防 御诸多攻击手段，但它却不能对付系统设计缺陷和加 密通道所进行的攻击．因此，入侵检测成为计算机安 全的重要技术之一． 1入侵检测技术 1 P． 980年，JamesAnderson在bm夕“抛r 图1 IDES模型 SPc“ri￡3，ThrP口￡Mo，li￡ori729口，ldS“r刁eizzn挖fP‘11中 IDESmodel Fig．1 首次明确提出了入侵的概念，将入侵划为外部闯入、 内部不规范操作和滥用三种类型，并提出用审计追踪 它的基本思路为：为用户建立和维护一系列的行 *收稿日期：2012—10一15． 作者简介：孙旭东(1983一)，男，湖南沅江人，南宁市第六人民医院助理工程师，研究方向：网络工程． 75 万方数据 广西民族大学学报(自然科学版) 2013年3月第19卷 为轮廓配置，描述用户正常使用系统的行为特征．这 该行为索引在模式建立阶段是聚类分析的重要手段， 样用户的异常行为就可以从正常行为中区分出来． 由于它以树作为数据结构，因此在模式匹配阶段，它 IDES通过这些配置来监控判断当前用户行为是否异又起到判定树的功能，确定待检测对象的身份信息， 常，当一个用户的当前行为超出某些预定义的极限条 在确定对象的身份及权限后，然后再索引项范围内计 件，即轮廓配置的各项阈值时，这种行为就被认为是 算相异度，从而判断待检测对象的行为是否符合正常 异常的，并且它很可能是一种非法入侵行为．