一种基于数据挖掘的入侵检测系统模型.pdf

维普资讯 第 25卷 第5期 南 京 邮 电 学 院 学 报 VoI_25 No．5 2005年 1O月 JournalofNanjingUniversityofPostsandTelecommunications Oct．2o05 文章编号：1000—1972(2005)05-0040-04 一 种基于数据挖掘的入侵检测系统模型 李玲娟 ，王汝传 ，1．南京邮电大学 计算机学院，江苏南京 210003 、 ＼2．苏州大学计算机科学与技术学院，江苏苏州 215006／ 摘 要：提 出了一种基于数据挖掘技术的入侵检测系统模型，该模型是一个核模型，具有很好的扩展能 力和适应能力，该模型因使用了元检测引擎来综合处理来自各个基本检测 引擎的数据而提高了检 测结果的准确性。文中还构建了一个基于数据挖掘的入侵检测原型系统来分析几种典型的数据挖 掘技术的实际应用效果，讨论了数据预处理和特征提取问题。 关键词：数据挖掘；入侵检测：模型 中图分类号：TP181；TP393．08 文献标识码 ：A A DataM iningBased IntrusionDetection System M odel LILing-juan，-．WANGRu．chuan， ／1．CollegeofComputer，N肌jingUniversityofPostsandTelecommunications，N肌jing210003，China~ ＼2．ComputerSciencenadTechnologySchool，SoochowUniversity，Suzhou215006，China ／ Abstract：ThispaperproposesadataminingbasedIDS(intrusiondetectionsystem)mode1．Thismodelisa kernelmodelandhasagoodscalabilityandflexibility．Th ismodelusesthemeta—detectionenginetosynthetically dealwiththedatacomingfrom allbasicdetectionengines．Itmakestheveracityofthedetectionresultincreased． Wealsobuildaprototypeofdataminingbasedintursiondetectionsystem toanalyzetherealeffectofapplyingsev． eral typicaldataminingtechnologytoIDS．Atthesametimewediscusstheproblemaboutdataprocessandfeatures sPlectiOn． Keywords：Datamining；Intursiondetection；Model 1 引 言 分为基于主机的和基于网络的两种类型。前者主要 依赖于系统和应用程序的审核 日志或者由可载入系 入侵检测系统 (IntursionDetectionSystem，IDS) 统内核的模块分析提供数据源。后者的主要数据是 是一种用来发现外部攻击和合法用户滥用特权的系 捕捉到的网络数据包。就检测技术而言，IDS有基 统，它根据用户的历史行为，基于用户的当前行为， 于标识的检测、基于异常的检测 、基于规范的检测。 完成对入侵的检测，并留下证据，为数据