网络入侵检测的技术研究

《网络入侵检测的技术研究》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、华中科技大学硕士学位论文网络入侵检测的技术研究姓名：张建明申请学位级别：硕士专业：控制工程指导教师：李庆华20061104华中科技大学硕士学位论文摘要随着计算机网络和应用的迅速发展，特别是电子银行、电子商务的兴起，网络安全问题也日益突出起来。网络入侵检测系统是一种积极主动的安全防护技术，它可以监视网络中的用户活动，发现可能存在的入侵行为。入侵检测系统提供了对内部攻击和外部攻击的实时防护，在计算机网络和系统受到危害之前进行报警和响应．论文讨论了国内外入侵检测发展现状，详细分析了入侵检测技术及其分类。依据不同分析策略，入侵检测系统常用的检测方法分为两种：

2、误用检测和异常检测。误用检测(misusedetection)，也称基于特征的检测(signature-baseddetection)，是根据与已知攻击特征匹配的程度来识别入侵的。这种方法的优点是可以有针对性地建立高效的入侵检测系统，检测率高，误报率低．缺点是对未知的入侵活动或已知入侵活动的变异检测能力不足，攻击特征提取困难，需要不断更新知识库，且知识库的更新较新的攻击的出现有一定的时延。异常检测(aIlomalydetection)根据与已知正常行为模式的偏离程度来识别入侵。由于不依赖于对已知入侵的掌握，因而，它最大的优点是有可能检测出以前从未出现

3、过的新的攻击。它的缺点是误报率较高，而检测率较低。为了解决异常检测误报率较高而检测率较低的缺陷，数据挖掘技术被用来进行特征构造和检测。针对网络数据流海量、高维等特征，在分析现有异常挖掘算法的基础上，针对其不足，依据异常点(outliers)是数据集中的稀有点这一本质，给出了新的数据相异性和异常度的度量方法，并设计了基于混合属性聚类的异常挖掘算法。在设计算法的基础上，给出了基于有指导学习的入侵检测方法，并通过使用数据标志位作为约束条件进行聚类的思想对上述入侵检测方法进行了改进，提高了检测的准确性。在KDDCUP99上的实验表明，与文献中同类方法相比较，

4、该方法在准确性、时效性及对未见攻击的检测能力方面具有明显的优势。这些基于异常挖掘的入侵检测方法的研究不仅为入侵检测提供一种新的视角和手段，同时也丰富了异常数据挖掘的研究内容。关键词：数据挖掘，聚类，异常检测，入侵特征建模华中科技大学硕士学位论文AbstractWiththefastdevelopmentofcomputernetworkandmanykindsofinternetservices，especiallydevelopmentoftheelectroniccommerce，electronicbank,networksecuritypro

5、blemisbecomingmoleandmofeimportantandsharp．TheIDSisanewtechnology．whichcarlprotectourinformation．Itcarlmonitor0111"systemsandnetworks,andfindsoutpossibleintrusions．TheIDSisdesignedtoprovidereal-timeprotectionsagainsttheattacksfromthehackersinsideoroutsidethenetwork,torespondbef

6、orethenetworkisbrokendown．ThethesisalsodescribesthehistoryofIDS，andanalyzesIDStechnologiesandclasses．TherearetwoAnalysismethodsofIDS：misusedetectionandanomalydetection．Misusedetectionisbasedonextensiveknowledgeofpattemsassociatedwimknownattacksprovidedbyhumanexperts．Anomalydete

7、ctionisbasedOilprofilesthatrepresentnormalbehaviorofusers，hosts，ornetworks，anddelectingattacksassignificantdeviationsfromthisprofile．Comparewithmisusedetection,themajorbenefitofanomalydetectionispotentiallyabletorecognizeunforeseenattacks，andit’Smajorlimitationsarepossiblelowde

8、tectiverateandhighfalsealarmrate，sincedetecteddeviatio