基于模式匹配与机器学习异常检测模型.docVIP

基于模式匹配与机器学习异常检测模型 　　摘 要：针对基于模式匹配的异常行为检测无法实现细粒度化检测和精确定位异常行为的问题，提出一种基于模式匹配与机器学习的异常检测模型。该模型通过模式匹配实现异常行为检测，同时利用机器学习算法实现越权检测，分别从“用户行为”和“功能点”两个维度检测，然后进行协作：两者相互验证，实现细粒度化检测以及精确定位异常行为，加深了模型的检测深度；两者相互补充，拓宽了模型的检测广度。实验结果表明，本文设计的检测模型实现了细粒度化异常检测，达到了提升异常检测能力的目的。 　　关键词：模式匹配；机器学习；异常检测；AC_BM算法；孤立点；蚁群聚类算法 　　中图分类号：TP181 文献标识码：A 文章编号：1671-2064（2018）07-0009-05 　　随着互联网的持续快速发展，网络深入到人们生活的各个领域中，扮演着越来越重要，且不可取代的角色，这为各种针对互联网的非法入侵提供了途径和动力，随之而来的网络犯罪愈演愈烈，面临的信息安全问题也日益严重。针对越来越严峻的安全形势，相应的安全防御技术被社会各界广泛关注，拥有空前的支持力度和发展空间。入侵检测技术自被提出开始就成为一个研究热门，迄今为止，入侵检测仍然被视为重要的安全防御机制，得到重点研究和运用。异常检测是入侵检测的一个研究方向，它将与正常行为不同的“非正常”行为都划归为入侵行为。基于模式匹配的入侵检测技术是利用模式匹配算法通过比对待测行为特征为与已知行为特征来实现入侵检测的，其不足之处在于依赖数据挖掘过程中挖掘出的已知行为特征，对未知的行为直接定性为入侵行为，无法进行更加细粒度地检测，实现精确定位入侵行为，达到精细化入侵检测。 　　针对基于模式匹配的入侵检测无法实现精细化入侵检测的问题，本文提出了一种以模式匹配与机器学习算法相结合的入侵检测模型。该模型在数据挖掘的基础上，对用户进行异常行为检测的同时，从另一维度以机器学习算法对该用户的行为进行越权检测，两种检测方法结合，相互验证检测结果，可以实现未知行为的细粒度化检测，精确定位异常行为；同时还能相互补充，加强检测广度，最终达到提高异常检测模型检测性能的目的。 　　1 相关研究 　　1.1 入侵检测技术与模式匹配 　　入侵检测的概念是在1950年由James Anderson[1]最早提出来的，它作为一种传统的安全防御技术被提出已经有数十年，有很成熟的理论体系和丰硕的相关科研成果。入侵检测能主动的检测攻击行为，防止攻击行为造成大面积的破坏。入侵行为可以分为内部合法用户的越权使用、滥用和外部人员侵入3种类型。与传统的安全防御机制相比，入侵检测是指用于检测任何危害或者试图危害信息系统保密性（Confidentiality）、完整性（Integrity）和可用性（Accountability）的行为的一种网络安全防御技术[1]。入侵检测可分为异常检测和误用检测两大类，其中异常检测是根据系统或用户的非正常行为和使用计算机资源的非正常情况来检测入侵行为。一个入侵检测系统（Intrusion Detection System，IDS）的基本组成结构如图1[2]所示。 　　模式匹配是一种基于攻击特征的入侵检测技术[3]。它是对入侵行为的特征进行匹配的过程，若待测行为的特征与入侵行为的特征模式匹配成功，则表示该待测行为是入侵行为。目前模式匹配技术已成为入侵检测技术中具有代表性的技术之一，得到了充分的研究和发展。 　　AC_BM算法[4-6]是典型的多模式匹配算法之一，是由AC算法[4-6]和BM算法[4-6]结合产生的匹配算法。该算法首先以多个模式的共同前缀作为根节点生成一棵模式树，然后将待检测模式与模式树的字符从模式树的根节点到叶子节点的方向逐个比较，待测模式能与模式树种的某个分支匹配，则表示匹配成功。该算法将BM算法的跳跃思想与AC算法速度上的优势相结合，相对其他模式匹配算法具有较高的效率和良好的性能。 　　1.2 基于蚁群聚类的孤立点检测算法 　　孤立点是指在数据集中与其他数据有不同性质的对象。在入侵检测中，孤立点因与其它数据类型不同，可能预示入侵行为。孤立点挖掘[6]是指探索和分析孤立点的数据挖掘过程。孤立点研究的意义主要在于：①它是数据分析结果的重要组成部分；②它一般是检测、记录错误，但可能代表某领域中有意义的知识；③孤立点的确认过程中通常会发现新知识。 　　本文在使用蚁群聚类算法[8]作为孤立点检测算法来实现横向越权检测。蚁群聚类算法的优点在于实现了自组织聚类，即不需要像K-means等算法那样预设聚类中心数目就能实现聚类[8]。 　　基于蚁群的聚类算法的主体思想是：首先把若干对象随机散布在n×m的网格平面区域内，其中m和n是区域的长和宽，要求每个网格内不能放置多个对象，m和