基于数据挖掘和协议分析的可扩充IDS架构.pdfVIP

维普资讯 第 l6卷 第 1期 计 算机 技 术 与 发 展 V)‘1．16 No．1 2006年 1月 COMPUTERTECHN()LDGYANDDEⅦ LoPMENT Jan．2006 基于数据挖掘和协议分析的可扩充 IDS架构 王亚楠，刘方爱 (山东师范大学信息管理学院，山东济南250014) 摘 要：由于TCP／IP协议的开放性，目前的网络极易受到攻击。文中详细介绍了入侵检测系统的主要思想和技术分类， 通过比较不同类型入侵检测系统的优缺点，分析了应用于入侵监测系纺均数据挖掘和协议分析技术，并在此基础上提出了 一 种新的基于安全管理的混合式可扩充入侵检测架构。该构架分层、简单、灵活，具有良好的扩充性。理论分析表明，该架 构不仅能提高入侵检测的准确率，而且能提升系统效率，有很好的应用前景。 关键词：入侵检测；数据挖掘；协议分析 中图分类号：TF393．08 文献标识码：A 文章编号：1005—3751(2006)01—0223—03 AnExtensibleFrameworkofIntrusionDetectionSystem Based onDataM iningandProtocolAnalysis WANG Ya-nan，LIU Fang—ai (CollegeofInformationManagement，ShandongNomralUniversity，Jinan250014，China) Abstract：BeacuseoftheopenstructureofTCP／IP，thecurrentnetworkisvulnerable．Introducesthemainthinkingandtechnicalclas~,ifi． cation·Itpresentsanewmixedmodelfortheintrusiondet~tionsyste~nbasedondatamining nadprotocolanalysisbyanalyzing therelative meritsofthetwokindsofIDS．Theextensibleintrusiondetectionframeworkislayering ，simple，flexiblenadtheoreticalanalysi3indicates thatitcanimprovenotonlytherateofaccuracybutalsotheefficiencyoftheIDS．∞ ithasabetterapplication ． Keywords：intamiondetection；datamining ；protocolanalysis O 引 言 系统至少应包含3个必要功能组件：数据获取、分析引擎 入侵检测系统(IntrusionDetectionSystem，IDS)是在 和响应组件。入侵检测系统按照数据来源分为主机型 1980年由Anderson首先提出的…，是计算机信息安全领 IIXS(Host—basedIDS，HIDS)和 网络型 IDS(Network— 域中一个热点课题。到目前为止可分为4代，第一代 IDS basedIDS，NIDS)两种，入侵检测的分析技术主要分为特 技术基于简单模式匹配技术，特点是防御力差，微小攻击 征(误用)入侵检测和异常入侵检测。基于主机的IDS主 变形都无法检测，故漏报率高。第二代 IDS技术出现在 要检查的是计算机访问了