《基于贝叶斯逐步判别法的入侵检测模型研究 Research on Intrusion Detection Model Based on Bayesian Stepwise Discriminant Method》.pdfVIP

第43卷第9期 数学的实践与认识 Vbl．43．NO．9 2013年5月 MATHEMATICSINPRACTICEANDTHEORY May，2013 基于贝叶斯逐步判别法的入侵检测模型研究 关可卿-，李洪心·，孔宪丽z (1．东北财经大学管理科学与工程学院，辽宁大连116025) (2．东北财经大学数学与数量经济学院，辽宁大连116025) 摘要：基于贝叶斯逐步判别法构建入侵检测模型，将入侵检测转化为一个分类判 别问题，基于步进式引入的方法淘汰冗余的特征变量，能够在保障判别效果的前提 下有效降低原分类判别函数的计算复杂度．使用KDDCUP99数据中10％数据集 作为实验数据，以常见的拒绝服务攻击(DoS攻击)为例创建具体的模型实例，实验 结果表明，模型对于样本内连接记录的回代判对率和样本外连接记录的检测正确率 均较高． 关键词：贝叶斯判别法；逐步判别法；入侵检测 1引言 随着互联网技术的迅速发展和普及，网络安全问题愈发受关注．入侵检测作为网络安全 中的一项重要技术多年来一直是网络安全领域内的研究热点和难点．入侵检测技术可以在不 影响网络性能的情况下对网络进行实时监测，帮助网络系统快速发现入侵攻击，并做出响应， 扩展了系统管理员的安全管理能力，被认为是防火墙之后的第二道安全闸门．入侵检测技术 基于对入侵行为的过程与特征的研究，通过收集网络系统中若干关键点的数据信息，并利用 相应的方法对其进行分析，判断其是否为入侵攻击行为，进而使安全系统对入侵事件和入侵 过程能做出实时响应．从理论分析方式上入侵检测技术可分为异常检测和模式检测两种相异 的分析技术．异常检测即离群点检测，通常情况下训练数据只包含正常样本，然后在此基础上 对被测数据进行检测，判断网络是否存在入侵攻击行为．模式检测要求检测前建立有标定的 正常数据和各种攻击数据的特征库，检测时通过匹配被检测数据的特征与标定数据的符合程 度判定入侵是否发生，这是一种有指导的基于正常、攻击样本库的入侵检测方法．相对于异 常检测技术来说，模式检测技术由于有攻击样本库的支持，具有误报率低、检测率高、能够识 别攻击的类别等特点，从而得到了广泛的研究与应用． 入侵检测是一个涉及很多方面的多变量、动态、高复杂的问题．近年来，随着入侵检测技 术的日益发展，为进一步提高对正常数据和各种攻击数据特征分析的准确性，进而有效提高 入侵检测技术的检测率、降低误报率，国内外许多学者将多种数学建模方法应用于入侵检测 模型的构建中．在众多入侵检测策略中，面向系统调用的检测方法与面向网络连接的检测方 法【1]，能够有效地识别出针对特定系统进程的入侵行为．JhaS等人(2001)用基于马尔科夫 收稿日期：2012—11—14 万方数据 9期 关可卿，等：基于贝叶斯逐步判别法的入侵检测模型研究 173 链的方法对系统调用序列进行建模，以提高其通用性【2]．谭小彬等人(2003)提出了基于隐马 尔科夫模型的系统调用序列建模方法，以提高空间效率，使模型更适合于在计算机系统上进 统调用行为，提高对系统入侵的识别率【4]．由于针对系统调用序列建立数学模型来实现入侵 监测的方法只能在网络入侵导致系统进程行为异常时才能发挥作用，而对扫描探测等其他攻 击行为无效，因此，相关研究的关注点逐渐聚焦于面向网络连接的检测方法，通过对网络数据 应用聚类分析方法构建入侵检测模型，通过对网络数据包进行聚类分析来识别入侵行为．王 令剑等人(2010)结合使用了聚类分析方法与时间序列分析方法来构建检测模型，解决了传统 检测模型，并探讨了提高贝叶斯分类器性能的方法[8】． 本文基于贝叶斯逐步判别法构建入侵检测模型，将入侵检测转化为一个分类判别问题， 基于步进式引入的方法淘汰冗余的特征变量，使用KDDCUP99数据中10％数据集作为实 验数据，以常见的DoS类拒绝服务攻击为例创建具体的模型实例，并通过实验数据对模型的 回判效果和样本外检测效果进行了相应的评价和检验． 2贝叶斯逐步判别法概述 贝叶斯统计的思想是：假定对研究的对象已有一定的认识，常用先验概率分布来描述这 种认识，当取得新样本后，再用新样本来修正已有的认识(先验概率分布)，得到后验概率分布，