互联网络多特征融合入侵检测方法.pdfVIP

互联网络的多特征融合入侵检测方法 贾超张胤 ．燕山大学信息工程学院，秦皇岛066004 摘要s 在高速大规模互联网络的环境下，提出多特征融合的入侵检测方法。在此方法的实现中，以 特征元素为基本单元，形成特征规则，采用基于可信度的不精确推理，判断系统被入侵的可能性。还 讨论了模式的形成，给出了实现模型。此方法能有效提高计算机系统抵御入侵及自身免疫的能力。 关键词：特征；融合；入侵检测；免疫 IntrusionDetectionBasedontheFusionof FeaturesofNetwork Multiple JiaChao Yin Zhang Information ofYanshan 066004 EngineeringCollege University,Oinghuangdao Abstract：Inthis recognitiontonetworkintrusiondetectionbasedonthefusion paper,apattern approach features of is withthe human rules matches which distinguishobjects．Feature proposed,which processby whichisconsist onmcasufe are to offeatureelementsand based ofbeliefintroduced uncertainty reasoning makethedecisionofID．The andthe of all a他outlined． patternformingmodelsuchapproach Keywords：Feature；Fusiont；IntrusionDetection；Immune 1引言 入侵检测根据检测原理分为误用检测与异常检测，这两种方法均可归结为“模式识 基金资助：教育部规划课题(FCB030751) 作者简介：贾超(1967-)，男，河北秦皇岛人，副教授，博士，Email：jiachao@ysu．edu．cn 别”。异常检测把与正常行为模式不匹配的认为“入侵”；误用检测把与己知入侵模式相匹 配的认为是“入侵”。现在入侵检侧技术关键在于提高识别率、降低误报率以及增强抵御 未知类型攻击的能力，即研究重点在于改善已有的或寻求新的用于入侵检测的模式识别 方法以满足这种要求。国、内外研究者都在为此努力，新的方法不断出现，如基于组合 学习的计算机网络入侵检测‘1’、基于范例学习的静态模式识别方法(2)、基于模式挖掘的 用户行为异常检测‘3’等。认知与识别是人脑的基本功能，许多模式识别方法是从生物的 信息处理过程中得到启发的。人对事物识别有一个重要特征是“多特征融合”“’。首先， 通过不同的感觉器官从多种途径获得关于目标的特征信息：然后，根据先验知识，把它们 进行各种可能的组合(特征融合)，形成各种可能对象模式；最后与脑中已有的知识(对象模 式)进行比较，得到结论。本文基于此提出“多特征融合的入侵检测”方法。 2攻击特征分析 特征是决定相似性与分类的关键，当分类的目的决定之后，如何找到合适的特征就 成为认知与识别的核心问题，所以有人认为]DS的核心是入侵特征库。一个IDS所掌握的 入侵特征越多，进行入侵识别时，效率越高，识别率越高，但入侵特征是不可穷尽的， 那么应该如何处理IDS目标与入侵特征不可穷尽的矛盾呢?下面分析若干入侵特征。 2．1报头值 报头值结构比较简单，易于读懂