采用SOM-BMU距离度量异常检测方法.pdfVIP

第37卷第5期 河南师范大学学报(自然科学版) V甜．37No．5 HenanNormal Science) 2009年9月 Journalof University(Natural ＆pt．2009 文章编号：1000一2367(2009)05—0132—03 采用SOM—BMU距离度量的异常检测方法 陈卫军，贾伟峰 (安阳师范学院计算机教学部，河南安阳455000) 摘 要：提出了一种基于SOM—BMU距离度最的网络异常检测方法，该方法通过t分布，构建了被测样本到 BMU距离的置信区间，当被检测样本与BMU之间的距离不在该置信区间内时，认定网络异常发生．此外，为了提高 该方法的自适应性，引入了滑动窗u的操作．实验阶段，对比了基于OC-SVM的网络异常检测方法．实验表明，该方 法具有较高检测率、低误报率和自适应性的特点． 关键词：网络安全；异常检测；自组织映射；置信区间；滑动窗I：1 中图分类号：TP309 文献标识码：A 入侵检测是网络安全领域内的研究热点和难点，目前国内外大多数文献将入侵检测分为误用检测和异常检测两种类 型…；误用检测要求检测前建：夔有标定的正常数据和攻击数据特征库．检测时通过匹配被检测数据的特征与标定数据的符合 程度判定入侵是否发生，是一种有指导的入侵检测方法．异常检测则不同．其检测思想是：首先建立正常数据的特征模型．检 测时根据当前数据是否与该模型有效拟合来判定攻击是否发生，由于异常检测不需要攻击建立知识库，只需保证训练数据中 大部分是正常数据，因此实际应用中更加具有实际推广和工程应用价值． 1相关研究工作 自组织映射(SeIf-organization DJ提出了一 SOM学习机制类似于人脑。是竞争性的学习机制．目前其主要应用在有监督的多分类领域．在入侵检测方面，Gao CUP99数据集中特定攻击类型．取得了良好的实验结果，证明了SOM神经网 种基于SOM的多类入侵检测方案，针对KDD 检测方案，其检测异常的依据是：正常数据大部分聚类在BMU的一定距离范围之内，超过该范围，认定异常发生．Ramadas的 方法有两个缺点：①只是针对DNSExploit攻击做实验，通用性有待验证；②范围阈值的确定，需要手工给出，实际工程中没有 CUP数据集上面进行了验证．同时，提出了一种基于统计学t分 自适应性．本文针对该方法的缺点，对方法的有效性在KDD 布的自适应性解决方案，使得该方法更容易在工程应用中实施． 2 自组织映射神经网络 2．1相关概念 Unit，BMU)对于每一个输入向蛩(^维)V，通过计算s()M中每个神经元的权值 (1)最佳匹配神经(BestMatching IlI的BMU． 向量与v之间的欧氏距离。得到一组距离序列S，S中的最小值对心的神经兀称为V在S()M Function． Function和GaussianNeighhorhood 分别是BubbleNeighborhood Function) (3)学习函数(I．earningBMU及Je邻近神经元权值向琏随符H寸问变化相对于输入向鲢而调整的函数，町用下 面式子表示： mf(f+1)=m．(，)+^。(，)ix(f)一in，(f)]． 邻近神经元的方法． 收稿日期：2009—04—20 基金项目：河南省科技攻关项目(09210221023I) 作者简介：陈U军(1971一)，男，河南安佴1人，安研1师范学院讲