基于多日志关联的网站入侵检测系统.ppt

研究的目的与意义 综上所述：为了保护企业和个人的财产和隐私，在网络前端（进入网络之前）对网络行为进行检测及在后期通过对网络行为产生的相关日志进行审计变得意义非凡。 对日志进行审计，是为了更好地了解入侵的网络行为，从而更好地去表示，构造，识别出入侵行为。 本文从多日志关联的角度，研究入侵行为，从而构造一个网站入侵检测系统。 国内外研究现状 入侵检测研究始于上个世纪80年代，发展至今已有产生众多入侵检测技术： 基于规则的异常检测方法 基于事件的异常检测方法 基于特征选择的异常检测方法 基于模式预测的异常检测方法 基于文本分类异常检测方法 基于分类机器学习的异常检测方法 等等 研究方案 拟题动机： 为什么研究日志分析： 目前国内外对应用系统产生的日志的研究较少，而我认为应用系统产生的日志恰恰就反应了网络行为。对日志的分析可能更能把握网络攻击行为 研究方案 拟题动机 为什么研究多日志的关联： 整个应用系统的很多环节都可能产生日志，而每个环节的日志在反应网络行为在这个环节产生的作用的同时也丢失了其他环节的信息。 为此，我们研究多日志的关联，想从不同的角度，不同的层次去了解一个网络行为对应用系统的作用，从而更贴近网络行为的本质。 研究目标 通过对网站Apache日志和mysql日志的分析，对这两个日志进行关联，对关联后的结果集进行建模得出一个入侵检测模型。 研究内容 1.多日志的关联 2.入侵检测模型的构造 研究内容 多日志的关联 由于不同部分的日志，即体现了网络行为对当前环节的作用，又不可避免加入了一些噪声。所以多日志的关联，需要把体现网络行为本质的特征提取出来而避免引入噪声。 研究内容 入侵模型的构造 首先把入侵检测抽象成两类问题。 一类是分类问题 第二类是聚类问题 研究内容 很容易地把入侵问题抽象成分类问题。即入侵行为和非入侵行为。 主要的方法就是通过之前关联后的数据集，选择合适的学习算法进行学习训练，得出一个模型。 缺点：由于是监督学习，训练时需要知道与入侵相关的大量知识，并且很多时候不能发现新的入侵类型。 研究内容 第二种是把入侵检测抽象成一个聚类问题。 对数据集进行聚类，距离类非常远的行为，我们可以认为是一个异常的行为。 优点：可以发现新型的入侵行为，无监督学习，不需要知道大量与入侵行为相关的知识。 缺点： 很难定义，非常远是多远？ 要是遇到像DDOS这样的攻击，由于攻击行为非常多，导致攻击行为也成为一类，这样就误认为入侵行为也是正常行为。 拟解决关键问题 日志关联过程中的去噪和保证关联的准确性 入侵检测模型构造过程中如何面的和解决两类抽象中的缺点。 基于多日志关联的网站入侵检测系统 姓名：顾海斌(Bean) 邮箱：guhaibin1847@ 目录 研究的目的与意义 国内外研究现状 研究方案 拟题动机 研究目标 研究内容 拟解决的关键问题 研究的目的与意义 讨论网络安全之前先看一下近几年网络的发展： 企业依赖互联网对公司的各个资源进行管理，沟通，协作。并随着云计算的兴起，越来越多的企业把自己的业务搬到云端，这样企业对互联网的依赖越来越强。 个人依赖互联网进行娱乐，社交，购物，甚至最近还出现了余额宝，p2p网贷等个人网络金融产品。 随着智能家居的发展，各种智能设备进入家庭，家庭的数据会逐步由互联网接管 综上所述，互联网正快速地渗透到每个人的生产生活当中，我们把越来越多的数据和业务交给互联网。这样对入侵者而言是一个非常大的机遇。一但获得互联网，就获得了一切。 从需求中抽象 * *