特定应用环境下的入侵检测架构.pdfVIP

第39卷增刊 2006年6月 天津大学学报 Joumal of锄a啦in UIIive璐ity V01．39 Suppl． Jun．2006 特定应用环境下的入侵检测架构 王怀彬1，刘 凯2，王鹏涛1 (1．天津理工大学计算机系，天津300191；2．北京信息工程学院计算机信息系统系，北京100101) 摘要：异常检测可以认为是通过对用户正常行为及系统正常应用环境的学习来识别异常的过程．由于系统及应 用环境的复杂性，异常检测还难以达到很高的识别精度．为此，针对在物理上与Intemet网完全隔离的计算机网络 应用环境，亦即内网，提出基于mobile agent(MA)的多层次入侵检测架构，利用自组织映射网络方法，在不同层次的 agem中建立二维网格的自组织映射网络模型，分别检测目标系统不同层次上的异常现象．实验结果表明，在入侵者 攻击的持续时间内，本系统通过多次采样的办法可以使检测率提高到满意的程度． 关键词：入侵检测；自组织映射；移动代理；网络安全 中图分类号：7I瞄93．08 文献标志码：A 文章编号：0493—2137(2006)增刊-0375-04 Intrusion Detection Arcllitecture Under Specific AppHcation En订ro衄ent WANG Huai-binl，LIU Kai2，WANG Peng．ta01 (1．Dep8nment of Computer，’ri删in Unive玛畸of Technolog)r，Ti粕jin 300191，China； 2．Depanment of Computer Infb瑚ation System，Beijing Infbmation Technolog)r Institute，Beijing 100101，China) Abst瑚陀t：Abnomlal detection is considered as a process of recognizing tlle anomaly by le锄ing to characterize the nom behaviors of user and system application environment． Because of complexity 0f application on net- work，it i8 difficult to improve the precision 0f abnomIal detection．A multiple·layer architecture based on mo- bile agent(MA)for intmsion detection is presented in the computer network enVironment isolated with tIle Imer- net，which is often called isolated network．It utilizes the methodology of self—o玛anizing m印(SOM)neural network to build山e two-dimension grid nlodel of SOM neural network aJld detect tlle anomaly 0f tIle object sys- tem on difI．erent layers．The experiment shows that this multiple一1ayer architecture can iInpr0Ve the mte of intnJ- sion detection by s锄pling time after time in the duration of the network attacked． Keywords： intmsion detection；senorganizing m印；mobile agent；network security 目前入侵检测技术采用了许多新的技术和新的思 想，但是在检测率、虚警率¨o以及自身安全性等方面 尚未达到满意的效果．入侵检测(intmsion detection)的 分析方法分为2类：异常检测(anomaly detection)和误 用检测(misuse deteetion)．目前在分析方法上，更多地 采用了智能化的方法，如Artificial Inteuigence(AI)、神 经网络、遗传算法、智能决策支持等旧_41．这些智能化 方法的应用在很大程度上提高了系统的检测精度，降 低了系统的虚警率，但是还没有使当前的入侵检测系 统达到令人满意的程度．而在体系结构上，更多地采用 分布式的结构．