基于关联规则的入侵检测系统

+ ! ’ ’ " ’ ’
图!
优化算法流程图
个候 选 集 ， 比如说要产生一个包含了文件创建、 修改、 删除、 执 行、属性更改五个事件的频繁模式，则必须先生成 7+ 个候选 集， 而且随着 ’ 的增大， 候选集的数目呈指数规律增大， 这显然 则 不利于入侵检测的实时性要求； 其次， 如果最长的频集为 * ， 需要 * 次数据库扫描， 对系统 8 9 : 负载要 求 很 高 ， 严重时可能 会影响入侵检测系统或目标系统的正常运行， 这不利于入侵检 测系统的独立性要求 。
&’()*() 算法的伪代码如下： !+,-初始候选集 .； # +, -初始频集 .； /*( （" ,+ ； # "!!； "$0） 1* 234)5 !"0+,从 # " 产生的候选集； 对 !"0+ 进行剪切； /*( 事件数据库中所有的记录项 %"& 1* 234)5 遍 历 包 含 在 记 录 项 % 的 候 选 集 !"$+ 中 的 所 有 候
分析发现， 在错综复杂的网络事件之间存在着千丝万缕的 关联， 通过对大量网络行为记录的数据挖掘， 可以找出这些行 为之间的联系， 形成关联规 则 （’(()*+,-+). /012(） ， 作为对目标 系统正常状态的描述和界定。 这种界定方式较之单纯地通过一 些系统的数据统计量作为参考更加精确， 更具有实效性， 更容 易平衡虚警率和漏警率之间的矛盾， 可以大幅度提高异常检测 的性能。论文主要讨论这种应用关联规则的异常检测。
&%" !""#$!% 计算机工程与应用
在进行数 &’()*() 算法在每一次进行自连接扩展得到候选集后， 据库扫描对候选集进行挑选之前， 根据这一性质对候选集预先 进行了一次剪切， 以减少候选集的数量， 降低扫描数据库的运 算强度。 则 令 !" 是 大 小 为 " 的 候 选 集 ， #" 是 大 小 为 " 的 频 集 ，
7
关联规则在入侵检测中的应用
频集代表了一个数据集中频繁出现的模式， 在论文讨论的
系统中， 它代表了信息系统正常运作时的模式， 系统将通过这 些正常模式来对异常进行检测。 在实际的检测过程中， 并不是直接使用频集来进行检测判 决的， 而是通过由频集导出的关联规则来界定正常和异常的。
7$+
关联规则的形成
&
概述
异常检测是网络入侵检测的基本方法之一， 这一方法的最
因果结构 3&4。关联规则的获取主要是通过数据挖掘的方法从大 量的网络事件记录数据库中找出那些频繁模式， 这些频繁模式 正是代表了信息系统的正常模式， 可以用来精确地与异常进行 区分， 有利于提高入侵检测系统的性能和精度。 论文从介绍经典的 ’56+)6+ 算法开始，结合用于 入 侵 检 测 的网络事件数据库的特点，对关联规则的挖掘算法进行了优 化， 并在工程系统中进行了应用和测试， 实验结果显示， 优化后 的算法具有更高的运算效率。
基于关联规则的入侵检测系统
朱秋萍 毛平平 罗 俊 （武汉大学电子信息学院， 武汉 :""D9 ）
E;?,+1： FG5H2+($8I0$2=0$*.
摘 要 在利用关联规则的入侵检测系统中， 为了得到关联规则， 必须首先通过数据挖掘从已搜集到的大量的网络数据
包中获取频繁集， 这是一个运算量巨大和系统负荷较重的过程。论文重点介绍了关联规则挖掘算法的优化策略。实验测 试结果表明， 优化后的算法在挖掘速度和检出率等性能上有较大提高， 说明该算法的优化策略是有效的。 关键词 入侵检测 关联规则 数据挖掘 文献标识码 ’ 中图分类号 KL:9:
大缺点是对异常难于界定。 界定过严， 入侵检测的虚警率过高； 界定过宽， 则又会相应地造成检测的漏警率过高， 这一对矛盾 的检测性能参数始终无法很好地平衡是异常检测存在的主要 问题， 如图 & 所示。
!$&
经典 ’56+)6+ 算法
算法的基本 ’76,8,1 等人在 &99: 年提 出 了 ’56+)6+ 算 法 3!4，
由 挖 掘 所 得 的 频 集 导 出 关 联 规 则 ;#< 在 前 面 讨 论 &’()*() 算
法时略有交待，根据上面对入侵检测系统特点的分析可知， 网 络事件的发生具有严格的规范性和顺序性， 因此在入侵检测问 题中可以不必由一个频集导出相关的所有规则。 这里的做法是 从频集中剥离出其最后一项作为规则的导出项， 而前面所有项 作为条件项， 形成规则， 然后计算其可信度， 最后根据最小可信 度对所得规则进行筛选，保留可信度在最小可信度之上的规 则。 计算机工程与应用 !""#$!% +%+
!
关联规则的挖掘算法
关联规则是指在日志数据、关系数据或其他信息载体中，
存在于项目集合或对象集合之间的频繁模式、 关联、 相关性或
基金项目： 国家 J%: 高技术研究发展计划项目 （编号： J%:;:"%;VK"W;! ）
作者简介： 朱秋萍， 女， 教授， 博士生导师。主要研究方向为多媒体信息处理与网络信息安全等。毛平平， 男， !"": 年 D 月于武汉大学电子信息学院 获通信与信息系统工学硕士学位后在广州移动分公司工作。罗俊， 男， 硕士生， 主要研究方向为移动通信及信息安全等。
（!""# ） 文章编号 &""!;J::&; !%;"&%";":
!"# $%&’()*+% ,#&#-&*+% ./)&#0 12)#3 +% 4))+-*2&*+% 5(6#)
7"( 8*(9*%: ;2+ <*%:9*%: =(+ >(%
（<)11272 )M E12*-6).+* >.M)6?,-+). ， N0I,. O.+P26(+-Q， N0I,. #:""D9）
! 7 # "
为了提高算法的性能， 论文结合入侵检测的特点和频集理 论的一些性质对 &’()*() 算法进行了优化。
!$!
关联规则挖掘算法的优化
对网络事件数据库初步扫描结果显示， 大量的字段取值有
较明显的趋向性， 即： 字段取某一个值的概率接近于 + 。 如 ： 对 扫描一个约 @ 百万条 （# ， 记录的 于 1=(>?)*5 字 段 ， ABA ， #7" 条 ） 数 据 库 ， 得 到 的 结 果 是 取 值 为 " 的 概 率 约 为 "$BA （# ， CCB ， #B+ 条） ， 其他取值出现的概率总共都只有约为 "$"! 。 对于这样的一 个字段及其取值， 可以认为这样一个事件： 1=(>?)*5," 几乎是肯 定发生的， 那么在进行自连接扩展生成候选集的时候， 可以先 不考虑这样的大概率事件， 而仅仅是自连接那些不那么肯定会 发生的事件， 等到扩展完毕生成频集之后， 再直接将这些大概 率事件和生成的频集做一个组合连接，得到一个增补候选集， 再次遍历整个数据库， 对增补候选集进行挑选， 以获得追加的 频集。这样， 挖掘算法流程变为如图 ! 所示。 在实际操作一个上百万条记录的数据库中， 只要支持度大 它们并 不 参 与 自 连 于 "$B 的频集都被认为是几乎肯定发生的， 接扩展， 只参与最后的追加扩展。 在每次的扩展中， 生成的候选 集集合是一个以上次频集集合为基础的排列组合结果集， 以入 侵检测网络事件数据库为例， 考虑理想情况， 设最小支持度为
"$@ ，若第一次遍历数据库后得到每个字段中的 +6项频集数都
则第 + 次自连接 （! 次 扩 展 ） 得 到 的 候 选 集 数 目 为 ! #+ , 为 +， 这个数目也许还不算太大， 但是考虑到 7 次扩展、 #次 A!" 个 ， 扩 展 ， 生 成 的 候 选 集 数 目 最 大 可 达 到 ! #+ ,+"%%" 、 ! #+ ,+"+!C"
思路是： 遍历事件数据库， 在指定的最小支持度下， 获得数据库 然 后 以 这 些 &; 项 频 集 为 基 础 ， 对 这 个 &; 中 的 所 有 &; 项 频 集 ， 项频集集合进行自连接扩展，得出所有的 !; 项集作为候选 集
图& 虚警率和漏警率与偏离阈值的关系曲线
（<,.=+=,-2 >-2?(2-） ， 再次扫描数据库， 对候选集进行挑选， 得 依次递推， 直到得到的频集集合无法再进行 出 !; 项频集集合， 自连接产生新的集合为止， 最后从所有这些频集中导出期望的 关联规则。 …， 其 中 "$ ""， 从 对 于 一 个 给 定 的 频 集 ! @A"&， "!， "#， # !&B， 中 导 出 所 有 只 包 含 集 合 A"&， …， "!， "#B 中 项 目 的 规 则 如 下 ： %&’"$ ， 这样的规则最多有 这里， 集合 %&"&"!… "$;&"$C&… "##! ， &$%$ $# ， 计算这些规则的可信度： （%&’"$ ） （! ） # ;& 条。 ()*+,-.*(. &/011)23 （% ） ， 与指定的最小可信度进行比较， 保留大于最小可 4 /011)23 信度的规则， 抛弃小于最小可信度的规则。最后得到的规则集 合就是算法的运算结果。 频集的任何子集一定是 ’56+)6+ 算法有一个最基本的思想： 频繁的。这也是频集理论的一个基本性质，基于这个性质，