数据挖掘技术在蜜网中应用研究①.PDFVIP

2014 年 第 23 卷 第 6 期 计 算 机 系 统 应 用 数据挖掘技术在蜜网中应用研究① 李巧君, 鲁华栋 (河南工业职业技术学院 计算机工程系, 南阳 473009) 摘 要: 部署蜜网(Honeynet) 的目的之一就是收集数据，但若无法对捕获的数据进行分析处理，则该数据就毫 无意义. 本文对蜜网中捕获的日志模块数据利用数据挖掘技术进行标记分类，使用分类算法对已经分好类的数据 进行有规则的挖掘，从而发现入侵者的攻击方法，为未来各种攻击行为做好防御准备. 关键词: 数据挖掘; K-means 算法; 日志模块数据; Honeynet Research on Data Mining in Honeynet LI Qiao-Jun, LU Hua-Dong (Computer Engineering, Henan Polytechnic Institute, Nanyang 473009, China) Abstract: Collecting data areone of the aims of Honeynet, But how to analyze these collected data is the keypoint. Data mining is introduced to mark and sort the log module data prayed in Honeynet. And the sorted data were mined regularly with sort algorithm. By means of that, the attack method could be found, and good defense ways for varies attack manners would be deployed,Collecting data is one of the aims of Honeynet. Key words: data mining; K-means algorithm; log module data; Honeynet 1 引言 习攻击方法和攻击流程，以便更好地防御未来的攻击 蜜罐(Honeypot) [1] 是一种专门设计成被扫描、攻 行为. 击和入侵的网络资源，用于收集入侵者的访问信息， 以日志的形式记录其访问活动，使入侵者在蜜罐中耗 2 数据分析对象的选择和收集 费精力和技术，从而保护正常的系统和资源. 蜜网 本文的数据来源于一个基于某高校校园虚拟 (Honeynet)技术[2][3]是在蜜罐技术上发展起来的一个新 Honeynet 中，该蜜网与 IDS 、防火墙、路由器等技术 的概念，又可称为诱捕网络，由一个或多个蜜罐组成. 结合使用，在该系统中一个蜜罐主机作为日志服务器 对于蜜网络系统来说，网络交互产生的所有数据都是 收集攻击蜜网的日志信息. 蜜罐主机的日志信息主要 可以(而且是必须)被记录的，这些网络数据的寄存被称 来自于由 Sebek 客户端基于内核级的对于入侵者行为 之为网络连接记录日志. 的记录，这些信息包括入侵者的击键序列和访问日志 日志信息可以有效地应用于故障监控、对数据访 记录信息，远程服务器上的一个叫 snort 的数据库存储 问服务恶意攻击的调查，但若无法对日志数据进行分 该数据[6]. 每条日志记录由一些固定的属性组成: 时 析，则其毫无用途，与日志记录相关的主要问题是海 间戳、协议、源 IP 地址、源端口、目的 IP 地址、目 量数据的分析. 为了提高入侵检测任务的有效性，使 的端口、包长、操作系统等. 用数据挖掘技术对网络日志数据进行分析.