一种基于改进KMedoids算法的网络攻击检测技术.pdfVIP

2009通信理论与技术新发展一第十四届全国青年通信学术会议论文集 一种基于改进K-Medoids算法的网络攻击检测技术 田小丽郑康锋钮心忻 (北京邮电大学信息安全中心) 摘要：该文讨论了基于数据挖掘中聚类分析方法的未知攻击识别技术，改进了K中心点算法， 使得聚类数可以自动增加，并通过仿真实验验证了算法的可行性，优化了传统入侵检测技术有效 检测未知攻击的能力． 关键词：K-Medoids；聚类分析；数据挖掘；攻击检测 1 引言 随着IDS作为继防火墙、数据加密，防病毒软件等传统安全保护措施后的新型安全防护措施的普及， 网络技术的不断发展和网络规模的不断扩大，各种缺陷和不尽如人意的地方也逐渐显露，如过高的误报率 和漏报率、有力的主动防御能力的欠缺，难以实时分析海量信息，难以适应目前层出不穷的新的攻击手法 和各种系统漏洞。 Detection)。滥用 传统的攻击检测技术主要分为滥用检测(MisuseDetection)和异常检测(Anormaly 检测依赖于收集到的已知入侵或攻击的相关知识(入侵攻击的特征、模式等)来检测系统中是否出现具有 相同特征和模式的攻击，缺点是需要定期使用新的已标记的数据样本来训练系统以检测新型未知攻击。 异常检测则可以不依赖于以标记的数据样本，其基本思想是首先为被监控的信息系统构造一个系统正常 行为的参考模型，然后检查系统的运行情况，若与给定的参考模型存在较大的偏差，则认为系统受到了 入侵攻击。 目前大量的文献中讨论的攻击检测技术多采用基于规则匹配【11、统计异常[41、状态转换f2】【3】、专家系统嘲 等方法实现系统的检测引擎，以分析事件的审计记录、识别特定的模式、生成检验报告和最终的分析结 果，缺点是如规则匹配不能有效检测已知攻击的变种或未知攻击；对于状态转换，复杂应用状态迁移难以 表示，而且存在状态组合爆炸的可能；对于统计异常存在入侵者故意训练的可能性，误报率高；而专家系 统则很难确保系统知识库的完备性。 聚类分析是一种广泛用于攻击检测技术的数据挖掘方法，本文将讨论将K-中心聚类算法用于攻击检测 中的技术，本文改进了传统的KI中心算法，使得聚类数可以自动调整以减小聚类质量受初始指定聚类数的 影响程度，同时提高了检测未知攻击和大规模攻击的能力。 2聚类分析中改进的K．Medoids算法 组内的数据对象具有较高的相似度；而不同组中的数据对象是不相似的。相似或不相似的描述是基于数据 描述属性的取值来确定的，通常就是利用(各对象间)距离来进行表示的。常见的聚类分析方法有：划分 STING)、基于模型方法等。在攻击检测系统中，可以利用聚类分析直接将未知的网络数据划分成正常类 和异常类，而不需要带有类别标记的训练数据集。 ·312· 第2部分密码学与信息安全 2．1 传统的K-Medoids算法 一个代表作为该聚类的中心，与K-Means相比，一个聚类中心的代表对象要较少受到异常数据或极端数据 加快，两者的处理时间差别已不是很大。故本文将采用K-Medoids算法。 数据对象的k个聚类；其他对象则根据它们与这些聚类代表对象的距离分别将它们归属到各相应聚类中心 (按照最小距离原则)；而如果替换一个聚类代表能够改善所获聚类质量的话，那么就可以用一个新代表对 象替换老聚类代表对象。 - 传统的K-Medoids算法描述： 输入：聚类个数k，以及包含N个数据对象的数据库。 输出：满足基于各聚类中心对象的方差最小标准的k个聚类． 处理流程： (1)从N个数据对象任意选择K个对象作为初始聚类(中心)代表； ‘ (2)循环(3)到(4)直到每个聚类不再发生变化为止； (3)依据每个聚类的中心代表对象，计算各对象与这些中心对象间距离，并根据最小距离重新对相应 对象进行划分； (4)任意选择一个非中心对象Orandom，计算其与中心对象oj交换后聚类质量； (5)若聚类质量提高，则交换Orandom与oj以构成新聚类的k个中心对象。 2．2改进后的K-Med