基于数据挖掘的入侵检测系统的设计与实现

《基于数据挖掘的入侵检测系统的设计与实现》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、基于数据挖掘的入侵检测系统的设计与实现　彭茹（北京城市学院中关村学部北京100083）　摘要：入侵检测是网络安全领域的一个重要技术，也是当前网络安全理论研究的一个热点。本文提出了一个基于数据挖掘的入侵检测系统DMIDS，并详细介绍了DMIDS的基本思想，阐述其结构及主要功能，着重分析了该系统的数据挖掘过程。关键词：入侵检测；网络安全；数据挖掘中图分类号：TP311.52 文献标识码：A文章编号：1008-4851(2005)-02-088-05    由于Internet自身的缺陷、网络的开放性以及黑客的攻击等造成了网络的不安全。越来越多的系统遭

2、受到入侵攻击的威胁，这些威胁大多数是通过利用操作系统和应用服务程序的弱点或缺陷（bug）来实现的。1988年“蠕虫事件”使得Internet近5天无法使用。2000年2月在短短的3天时间里美国数家顶级互联网站—雅虎、亚马逊、电子港湾、CNN等因受到黑客攻击而陷入瘫痪。保障计算机网络系统及整个信息基础设施的安全非常重要，它甚至关系到国家的安全和社会的稳定。目前虽然使用了防火墙、加密、身份认证、访问控制、安全路由器、虚拟专用网(VPN)、防病毒软件等安全技术来提高信息系统的安全，这些对防止系统被非法入侵有一定的效果，但只是起着防御的功能，不能完全阻止

3、入侵者通过蛮力攻击或利用计算机软硬件系统的缺陷闯入未授权的计算机或滥用计算机及网络资源。要保证计算机及网络系统的安全，需要一种能及时发现入侵、成功阻止入侵，并在事后对入侵进行分析，查明系统漏洞并及时修补的网络安全技术，这就是入侵检测技术。入侵检测系统既可以对单机进行检测，也可以对整个网络进行检测，既可以实时检测，又可以事后检测。入侵检测系统优于其它安全系统的是，它可以保证网络的安全运行，简化系统的管理，构成了一个主动的、智能的安全防护体系。入侵检测系统越来越成为网络安全的关键。因此，入侵检测是非常必要的。　　入侵检测系统是一种主动的网络安全防护措

4、施，它从系统内部和各种网络资源中主动采集信息，从中分析可能的网络入侵。入侵检测是一个全新的、快速发展的领域。入侵检测的概念是八十年代初Anderson首先提出的，并提出用审计追踪监视入侵威胁。从那时起开展了早期预警系统及入侵检测技术的研究，出现了大量的产品。　　入侵检测技术经过几十年的发展，从以前单机的入侵检测到现在的网络入侵检测，从基于主机的到基于网络的入侵检测，从集中式的入侵检测到分布式的入侵检测，以及各种相关技术的应用，使得入侵检测系统正朝着实时、高效和智能化的方向发展。将数据挖掘技术应用于入侵检测中的研究成果表明，数据挖掘技术可能成为大规

5、模入侵检测系统中的重要技术，将是实现入侵检测的一个重要技术，值得深入研究。　　目前，我国计算机网络的发展水平、安全技术和管理手段都落后于国际水平。我国在安全方面的研究经历了通信保密、计算机数据保护两个发展阶段，正在进入网络安全的研究阶段。对系统脆弱性评估及入侵检测的研究，国内还刚刚开始。　　总之，入侵检测的发展还处于初级阶段，其研究领域非常广阔，涉及的内容也非常的多，许多关键技术都未取得突破性进展。为了提高信息系统的防护能力，我国应尽快填补这方面的空白。　　入侵检测模型是描述网络或用户行为是正常行为还是入侵行为的一套机制，包括规则集、决策树、系统

6、状态、统计轮廓等。在收到系统或网络的原始数据后，如何建立入侵检测模型是入侵检测领域的研究重点。数据挖掘的优势在于它能从大量的数据中提取人们感兴趣的、事先未知的知识和规律，而不依赖经验。利用数据挖掘技术实现入侵检测在国内外都是一种新的尝试。　 一、基于数据挖掘的入侵检测系统的设计  入侵检测基于两个基本的前提：一是系统活动是可以观察到的；二是合法行为和入侵行为是可以区分的，也就是说可以通过提取用户行为的特征来分析、判断该行为的合法性。将从原始审计数据或网络数据中提取出来的证据称为“特征”，使用“特征”建立和评价入侵检测模型。特征提取就是确定从原始审

7、计数据或网络数据中提取那些包含关键行为并对分析最有用的证据。因此，建立一个入侵检测系统需要解决两个基本问题：一个是如何充分、可靠地提取特征；二是如何高效、准确地判断行为的合法性。  一个网络服务，其正常服务时的网络流量有一定的模式，当发生入侵时，网络流量模式与正常网络流量模式有着明显的区别；一个程序正常运行时产生的系统调用序列是有一定模式的，与非法操作时产生的系统调用序列有着明显的不同。因此，可以利用数据挖掘技术，对大量的网络流量日志和系统日志进行挖掘，以挖掘出正常行为轮廓和攻击模式。  本文将数据挖掘技术应用于入侵检测中，设计和建立了一个基于数

8、据挖掘的入侵检测系统（DataMiningBasedontheIntrusionDetectionSystem，缩写为DMIDS），目的