基于克隆聚类企业IDS研究.docVIP

基于克隆聚类企业IDS研究 　　Research of Farm Produce Processing Enterprise Intrusion Detection System Based on Clone Clustering 　　 　　 Lin Hui； Zhu Junping 　　 （Weinan Teachers University，Weinan 714000，China） 　　 　　摘要：在论述克隆聚类的基本概念及其特点的基础上，探讨了基于克隆聚类的农产品加工企业IDS的优势。根据农产品加工企业的实际需求，重点介绍了无监督的克隆聚类算法，设计并实现了基于克隆聚类算法的入侵检测系统，最后使用KDD CUP 99数据集进行了计算机仿真实验，结果表明能够显著提高检测率和降低误报率。 　　Abstract: On the base of discussing the basic concepts and characters of clone clustering, the advantage of IDS is explored based on clone clustering. According to the farm actual demand of produce processing enterprise, the clone clustering algorithm is mainly presented, the intrusion detection system CCIDS (clone clustering based intrusion detection system) based on algorithm CC is designed and implemented. finally, the experimental results using KDD CUP99 dataset show that this algorithm can achieve higher detection rate of known or unknown attacks and lower false positive rate. 　　关键词：计算机应用 入侵检测 克隆聚类 无监督异常检测 　　Key words: computer application；intrusion detection；clone clustering；unsupervised anomaly detection 　　中图分类号：TP39 文献标识码：A文章编号：1006-4311（2011）21-0144-02 　　0引言 　　入侵检测系统（IDS）作为一种主动的信息安全保障措施，弥补了传统安全技术的缺陷[1]，成为农产品加工企业涉密计算机网络的一种必要的网络安全手段。 　　本文考察了现有的入侵检测系统，入侵检测技术主要分为误用检测(misuse detection)和异常检测(anomaly detection)[2]。近年来，将数据挖掘等机器学习方法应用到入侵检测领域已成为入侵检测领域的一个研究热点[3]。 　　本文将克隆聚类算法用于入侵检测。采用非特异性变异算子，根据胎生期免疫细胞的天然耐受性质[4]来分析类间边界不明显的聚类问题，并且改进了距离测度方法，用一个小规模网络来表示海量数据，完成数据的压缩表示；然后利用图论中的最小生成树对网络结构进行聚类分析，最终获得描述正常行为和异常行为的数据特征，实现合理的聚类。 　　1克隆聚类的入侵检测算法 　　1.1 新的距离测度函数首先，我们定义一种新的距离测度函数，来实现将不同属性特性相结合和目的。令x={x1，x2，…，xn}表示一组具有n个样本的数据集，其中xi=[xi1，…，xim]T表示第i个样本的m个特征值，令c是一个正整数，那么对x进行聚类的目的就是要找到一个最优划分，将x中的目标分为c类。 　　距离测度函数的定义: 　　本文重新定义了混合型（离散的和连续性属性）数据差异度衡量标准来提高聚类精度。新的距离测度定义为： 　　d■（x■,x■）=■（x■-x■）■+λ■σ（x■,x■）■ 　　其中，第一项是连续属性的欧几里德距离的平方，第二项是离散属性的相异匹配测度，常数λ用来调节两种属性在目标函数中的比例。σ（x，y）定义为：σ（x，y）=0，x=y1，x≠y 　　1.2 基于禁忌克隆的网络结构聚类算法： 　　Step1.l=1,产生初始网络C:网络节点（抗体）yj（j=1,2,…,Nc）是Nc个p维向量； 　　Step2.对每个输入的抗原xi，进行如下操作： 　　Step2.1计算抗原-抗体的亲和度： 　　f（x■，y■