数据挖掘方法在入侵检测系统中的应用.pdfVIP

维普资讯 大 庆 石 油 学 院 学 报 第 3O巷 第 1期 2006年 2月 JOuRNALOFDAQINGPETROLEUM INSTITUTE Vo1．3O No．1 Feb． 2006 数据挖掘方法在入侵检测系统中的应用 衣治安 ，李 楠 ，彭 敏 (1．大庆石油学院计算机与信息技术学院，黑龙江 大庆 163318； 2．大庆石油学院 图书馆 ，黑龙江 大庆 163318) 摘 要：介绍了入侵检测的概念及其技术方法，比较 了异常检测与误用检测方法的优缺点，探讨 了数据挖掘技术在 异常检测中的应用，分析了数据挖掘方法中的关联分析、序列模式分析和分类分析在入侵检测系统中的协 同工作方式， 通过对用户行为模式的挖掘 。得到入侵规则． 关 键 词：入侵检测l异常检测；误用检测；数据挖掘 ；关联规则；序列规则；分类分析规则 中豳分类号：TP393．08 文献标识码：A 文章编号：1000—1891(2006)01—0076一O3 l 八 1囊裣 洲 糸 轨 随着计算机和网络技术的发展 ，网络攻击技术也在不断提高 ，手段变得更加高明和隐蔽．PPDRR模 型_1]从整体上考虑 网络安全 问题 ，以安全策略(Policy)为指导 ，综合运用防护工具 (Protection，如防火墙 、 身份认证系统、加密设备)，并利用检测工具(Detection，如漏洞评估、入侵检测系统)了解和判断系统的安 全状态 ，通过适当的响应 (Response)措施和恢复 (Restore)手段将系统调整到最安全和风险最低的状态 ， 策略、防护、检测 、响应和恢复组成 了一个完整 的、动态 的安全循环．入侵检测系统 IDS(IntrusionDetec— tionSystem)为PPDRR模型中重要的组成部分，通过从计算机网络或计算机系统的关键点收集信息并进 行分析，从 中发现网络或系统中是否有违反安全策略的行为和被攻击的迹象_2]． 依据侵检测的策略，入侵检测模型主要有误用检测和异常检测．①误用检测 (MisuseDetection)是对 利用已知的系统缺陷和入侵方法进行入侵活动 的检测．其优点是有针对性地建立高效 的入侵检测系统 ， 精确度较高；缺点是不能检测未知的入侵，也不能检测已知入侵的变种，因此可能发生漏报．常用的检测 方法有模式匹配、专家系统、模型推理、状态转换分析和Petri网等．②异常检测(AnomalyDetection)针对 异常入侵(由用户的异常行为和对计算机资源的异常使用产生)，建立 目标系统及用户的正常活动模型，基 于该模型对系统和用户的实际活动进行审计，以判定用户的行为是否对系统构成威胁．异常检测的优点 是不需要有系统缺陷的知识 ，有较强的适应性；缺点是难以提取完整的用户正常行为特征．常用的检测方 法有统计分析、神经网络、计算机免疫学和数据挖掘技术等． 2 数据挖掘与入侵检测的结合 数据挖掘 (DataMining)是知识发现 (KnowledgeDiscoveryinDatabase，简称 KDD)概念 的深化 ，是 人工智能、机器学习与数据库相结合的产物．数据挖掘程序处理搜集到的审计数据，为各种入侵行为和正 常操作建立精确的行为模式，是一个 自动的过程 ，不需要人工分析和编码入侵模式．此外，相 同的算法可 用于多种证据数据，可增强系统的可适应性．数据挖掘方法的关键在于选取算法和建立体系结构．根据 美 国国防部入侵检测评估(DARPA)，运用数据挖掘方法的入侵检测系统在性能上优于基于 “知识工程” 的系统 Ⅲ]． 数据挖掘方法在入侵检测中的应用 ：一是发现入侵的规则、模式 ，与模式匹配检测方法相结合 ；二是用 收稿 日期：2005—05—19；审稿人：袁 满 ；编辑 ：郑丽芹 基金项 目：黑龙江省研究生创新科研资金项 目(YJSCX2006—38Hid) 作者简介 ：衣治安(1964一)，男，硕士，教授 ，主要从事计算机网络与通信、数据库等方面的研究 ·76 · 维普