Snort入侵检测系统中的规则泛化模型.pdfVIP

88 2010 ，46 （27 ） Computer Engineering and Applications 计算机工程与应用 Snort 入侵检测系统中的规则泛化模型 李凯斌，李明楚，覃振权，田琳琳 LI Kai-bin ，LI Ming-chu ，QIN Zhen-quan ，TIAN Lin-lin 大连理工大学 软件学院，辽宁 大连 116620 School of Software Technology ，Dalian University of Technology ，Dalian ，Liaoning 116620 ，China E mail ：lkb2003@ LI Kai-bin ，LI Ming-chu ，QIN Zhen-quan ，et al.Rule generalization model for Snort intrusion detection system.Comput- er Engineering and Applications ，2010 ，46 （27 ）：88-92. Abstract ：A new model for Snort intrusion detection system based on the theory of rule generalization is proposed to solve the problem that Snort system is powerless to find new types of intrusions.In the new model ，combining the characteristics of Snort rules and algorithms in data mining ，both cluster generalization and nearest neighbor generalization are also pro posed to enhance the detection ability of rules and achieve the goal of detecting more intrusions.The test results show that ， under the premise of no significant increase in false alarm rate ，new types of intrusions can be detected by our model ，and the detection rate has been increased by 8.2%. Key words ：intrusion detection ；rule generalization ；feature analysis ；law of evolution 摘 要：针对Snort 系统不能检测新的入侵行为的缺点，提出一种基于规则泛化的Snort 入侵检测系统的改进模型。该模型结合 Snort 规则的特征和数据挖掘中的知识，提出聚类泛化和最近邻泛化两种新的规则泛化方法来改进规则，增强Snort 的检测能力， 从而达到识别更多入侵行为的目的。实验结果表明：在不显著增加误报率的前提下，采用规则泛化的Snort 能够检测出原来系统 不能发现的入侵行为，提高检测率达8.2%。 关键词：入侵检测；规则泛化；特征分析；进化规律 DOI ：10.3778/j.issn.1002 8331.2010.27.024 文章编号：1002 8331（2010 ）27 0088 05 文献标识码：Ａ 中图分类号：TP302.1 1 前言 据挖掘中的算法，提出聚类泛化和最近邻泛化两种新的规则 随着信息时代的到来，尤其是电子商务等涉及经济领域 泛化方法，通过使用这些方法来改进Snort 规则，增强原来系 的网上应用被更多的人所接受，计算机和网络已经成为人们 统的检测能力，从而具备检测新的入侵行为的能力。 生活中的重要组成部分，但另一方面，各种病毒和网络攻击等 入侵行为给人们的生活和工作带来众多不便，甚至造成经济 2 相关工作 损失，计算机和网络的安全问题就显得越来越重要，对信息安 入侵是指试图破坏资源的完整性、机密性及可用性的行 全技术提出了更高的要求。