一种基于聚类的有指导的入侵检测方法.pdfVIP

第26卷第6期 小型微型计算机系统 Vo1．26 No．6 2005年 6月 MINI—MICR0 SYSTEMS June 2005 一 种基于聚类的有指导的入侵检测方法 蒋盛益 ，李庆华 ，王 卉 ，孟中楼 (华中科技大学计算机学院，湖北武汉430074) 。(衡阳师范学院计算机系，湖南衡阳421008) E—mail：jiangshengyi@163．tom 摘 要：提出了一种新的距离定义和基于聚类的有指导的入侵检测方法CBSID(Clusteri“g-based and Supervised Interusion Detection)．该方法在带标记的训练集上进行聚类．以聚类结果作为分类模型对未见数据进行分类．该方法对于参数和数据输入 顺序具有稳健性．可增量更新分类模型．不同于一般的有指导的入侵检测方法．该方法对未知入侵有一定的检测能力．在KDD- CUP99数据集上的测试结果表明，CBSID有理想的性能(高的检测率和低的误报率)． 关键词： 侵检测；聚类；分类 中图分类号：TP309 文献标识码：A 文 章 编 号：1000—1220(2005)06-1042—04 Clustering—Based and Supervised Intrusion Detection Method JIANG Sheng—yi ～。LI Qing—huai ．WANG Hui ，MENG Zhong—lou (Computer Schoo1．HuazhongUniversity ofScience 8LTechnology，Wuhan 430074．China) 。(Computer Department of Hengyang Normal University．Hengyang 421008，China) Abstract：A clustering—based and supervised intrusion detection method，named CBSID(Clustering—based and Supervised Interu— sion Detection)with new distance defination is proposed in this paper．CBSID clusters training data by the label and the results of clustering are used as classification model to predict which cluster the current data belongs to．The method is robust to the cluster parameter and the input sequence of data．The classifiaction model may be incremental updated．Compared with the most existing supervised intrusion detection methods，this method can detect unknown intrusions．The experiment results on dataset KDDCUP99 demonstrate that the CBSID has promising performance with high detection rate and low false alarm rate． Key words：intrusion detection；clustering；classification 1 引 言 否异常． 有指导的检测方法【4 是通过在已标记为正常和入侵的 在网络安全问题Et益突出的今天．迅速、有效地发现各种 数据集上进行训练学习．建立行为模型，通过检测观测数据偏 入侵行为，对于保证系统和网络的安全显得越来越重要．入侵 离各行为模型的偏差来捕获非正常的、潜在的入侵行为．这