数据挖掘在入侵检测中的应用研究

是不可能检测出所有的入侵行为的。并且对于那些有经验的入侵 行分析，从中发现相关的特征和规律，并将得出的规律用相关的 者还可以改变他们的攻击行为，来改变入侵检测 系统中的用户正 方法 定 义 出来 ，存 储 到数 据库 或配 置文 件 中， 以便 日后调 用 。
一
６一
计算机光盘软件与应用
计算机光盘软件与应用
信息技术应用研 究 Ｃ ｍ ｕ ｅ Ｄ Ｓ ｆ ｗ ｒ ｎ ｐ ｌｃ ｔｏ ｓ ｏ ｐ ｔｒ Ｃ ｏ ｔ ａ ｅ ａ ｄＡ ｐ ａ ｉ ｎ ｉ ２ １ 年第 ６期 ０１
数据挖掘在入侵检测中的应用研究
刘海涛
（ 台学 院信 息科 学与技 术 系，河北邢 台 ０ ４ ０ ） 邢 ５０ １
Ｌ ｕ Ｈａｔ ｏ ｉ ｉ ａ
（ ｉ ｔｉ ｎ ｅｓｙＣ ｌｇ ｆｎｏｍａｉ ｃ ｎ ｅａ ｄＴ ｃ ｎ ｌ ｙＸｎ ｔｉ ０ ４ ０ ， ｉ ） Ｘｎ ａ ｉ ｒｉ ，ｏｌ ｅｏ ｆｒ ｔ ｎＳ ｉ ｃ ｎ ｅ ｈ ｏ ｇ ，ｉｇａ ５０ １ ｎ ｇ Ｕ ｖ ｔ ｅ Ｉ ｏ ｅ ｏ Ｃｈ ａ
一
、
常 行为 模 式 ，让 他们 的 入侵 行 为逐步 变 为合法 ，这 样 就可 以避 开 使 用异 常性 检测 技术 的入 侵检 测系 统 的检测 。 （ ）基 于行 为的检 测 方法 。基 于行 为 的检测 方法 就 是通 过 － 检 测用 户 的使用 行 为 中存在 哪些 和 已经知 道 的入侵 行 为模 式 中有 类似 的行 为 ，或者 是那 些可 以利 用 系统 中缺 陷间接 地违 背 系统 安
全 规则 的行 为 ，通过 这些 实 际行动 来检 测系 统 中的入 侵活 动 。 基于入侵行为的检测技术优势是：如果检测器中的入侵特征 模 式库 中包 含 一个 已知 入侵 行为 的特 征模 式 ，就 可 以保证 系统 在 受 到这 种入 侵 行为 攻击 时 能够 把 它检 测 出来 。但 是 ， 目前 的主 要 方 法只 是从 已知 的 入侵 行为 和 已知 的系统 缺 陷 中来 提 取入侵 行 为 的特征 模式 ，加 入 到检 测器 入侵 行 为特征 模式 库 中去 ， 以此来 避 免 本系 统 以后 再遭 受 同样 的入 侵攻 击 。 三 、数 据挖 掘技 术 数据挖掘是从现存大量的、模糊的、随机的数据中提取出那 些 隐含 在其 中 的那 些人 们事 先不 知道 的 、但又 是潜 在 有用 的信 息 和知识的过程。把数据挖掘技术应用到人浸检测系统中，就是从 大量数据中自动提取出模型的过程。在建立攻击检测系统过程中 消 除人 为 因素和 特 定 因素 ，为用 户 开发 出一套 可 以从 各种 审计 数 据中产生攻击检测模型的 自动工具。我们可以使用关联分析和序 列 模式 分 析等 算法 ，发 现特 征之 间 的关 联和 与 时序 有 关 的联系 ， 从 而完 成用 户 数据 收集 与特 征选择 过 程 。 （ ）数据 挖 掘 的过程 。数 据挖 掘 的对象 通 常为 数据 库 、文 一 件 以及 结 构化 半结 构化 的数 据 ，是 知识 发现 的一 个步 骤 ，利用 相 关 的算 法 从数 据 中提取 除预 处 理 、领 域 知识 以为 的模 式 。数据 挖 掘 是 由若 干部 分组 成 ，包括 数据 的前 期 筹备 、数据 挖 掘 以及对 最 终 结果 的评 估 。 数 据挖 掘 技术通 常 由 以下几个 部 分组 成 ： 时留 下的 痕迹 。 ！ １数据 采 集 ：收集 有用 的 数据 ，如 系统 的 日志文 件 、网络 监 ． （－ －）异常 性检 测 方法 。异 常性 检测 技 术是通 过检 测 冒充 合 测程序中获得的原始数据 。 法用户的入侵者 的一种有低数据 中的噪音，使 ． 的特征轮廓 ，但是由于不是所有入侵者的行为都能够产生明显的 数据挖掘能更快速的发现数据 中的规律 。 异 常性 ，所 以在 入侵 检 测系 统 中，如 果只 使用 异 常性检 测技 术 ， ３ 挖掘：利用数据挖掘的相关算法，对经过预处理 的数据进 ．
关键词 ：入侵检测；数据挖掘 ；异常检测 ；关联规则；聚类分析 中图分类号：Ｔ ３３ ８ 文献标识码 ：Ａ Ｐ９． ０ 文章编号：１０－ ５９ （ ０ １ ０ － ０６ ０ ０７ ９９ ２ １ ） ６ ００ － ２
Ｄａ ａ Ｍ ｉ ｉ ｇＡｐ ｌ ａ ｉ ｎ Ｒｅ ｅ ｒ ｈ ｉ ｎ ｒ ｓｏ ｔ ｃｉ ｎ ｔ ｎ ｎ ｐ ｉ ｔ ｓ ａ ｃ Ｉ ｔ ｕ ｉ ｎ Ｄｅｅ ｔ ｃ ｏ ｎ ｏ
２ １ 年第 ６期 ０１
Ｃ ｍ ｕ ｅ ＤＳ ｆｗ ｒ ｎ ｐ ｌ ｃ ｔ ｏ ｓ ｏ ｐ ｔｒＣ ｏ ｔａ ｅａ ｄＡ ｐ ａ ｉｎ ｉ
信息技术应用研究
４ 表达 和评 价 ：将 获得规 则 以友好 的方 式 呈现给 用 户 ，并对 ． 其 进行 评价 。如 果 获得 的规 则满足 用户 需要 ，则说 明成 功 ，否 则 重 复执 行上 述过 程 ，直至满 意 。 （ ）数据 挖 掘的 主要 功能 。一般 来说 数 据挖 掘有 以下 的主 二 要功能： １通 过该念 描述 发现 广义 知识 数据 是和 类相 关联 的 ． ２ 通过 关联 分 析发现 关联 知识 ． ３ 通过 分类 和聚 类 方法发 现分 类知 识 ． ４ 通 过预测 方 法得 到预测 型 知识 ． ５通过 偏 差检 测得 到偏 差型 知识 ． 四 、数据挖 掘 技术 在入 侵检测 中的应用 目前 常用 的数 据挖 掘分 析方 法有 ： 关联分 析 、序列 分析 、聚 类分 析和 分类 分析 。将 数据 挖掘 分析 的方 法 与入侵 检测 相结 合 ， 构建 出全 新 的基 于数据 挖掘 的入 侵 检测 系统 ，能够 从海 量 的 网络 数据 中 发现 正常 的数据 模式 ，客 服 传统 入侵检 测 系统 只能对 已知 攻击 进行 识别 ，而 对未 知或 变种 攻击 无 能为力 的局 面 。 （ ）关联 分析 。关 联分 析能 够从 已知 的数 据 中发现 他们 的 一 相互 关 联 ，发现 一条记 录 中不 同属 性之 间 的关系 ， 为用户提 供 最 大 的信 息支 持 。关联 分析 的 目的在 于发 现给 定数 据之 间 的规则 ， 推 导数 据项 之间 的相 关性 。 （ ）序列分 析 。列分析 的主要功 能是发现 序列模 式，处 理的 － 是不 同数据 之间各个 属性之 间存在 的联系 ，将数据与 时间相联 系 ， 其关 注点是 数据之 间的时序情 况 。 数据按 照时 间顺 序排列 ，找 出 将 高频 序列 。 如黑客在 入侵 时总是有 一定 的先 后顺序进 行相应 的攻击 行 为 ，序列 分析可 以发现这 个时 间序 列 ，来 对攻击进 行检测 。 （ ）聚类 分析 。聚 类 分析 是对物 理或 抽象 的对 象集 合 分组 三 的过程。聚类用于在对数据的规律不了解的情况下对数据对象集 合 的分 析 ，将数 据对 象 分组 成为 多个类 或簇 ，在 同一个 簇 中的对 象 之 间具有 较 高 的相 似 度 ，而不 同簇 中 的对 象 差别 较大 。这 里相 异度 可 以根据 描述 对象 的属 性值 计算 ，对 象 间的距 离是 最常 用 的
摘 要 ：本文 介绍 了入侵 检 测和 数据 挖掘 相 关 内容及 其概 念 ，在此 基础 上 重点研 究 了入侵 检 测的 机制 和数据 挖掘 的过 程及主要功能。本文还对数据挖掘技术在入侵检测 中的应用做 了简单的阐述 ，介绍了常用的几种方法。最后对基 于数据挖
掘 的入侵 检 泖 的优 缺 点进 行 了分析 。 Ｊ
Ａｂ ｔ ａ ｔＴ ｉ ｐ ｐ ｒ ｅ ｃ ｉｅ ｅｉ ｔ ｓｏ ｅｅ ｔ ｎａ ｄ ｄ ｔ ｎ ｎ －ｅａｅ ｏ ｔｎ ｎ ｏ ｃ ｐ ｓ ｎ ｔｉ ａ ｉ， ｃ ｓ ｓｏ ｅ ｓｒ ｃ ： ｈｓ ａ ｅ ｓ ｒ ｓｔ ｒ ｉｎ ｄ ｔｃｉ ｎ ａ ｍｉｉ ｇ ｒ ｌｔｄｃ ｎ ｅ ｔ ｄｃ ｎ ｅ ｔ， ｓ ｓｓ ｏ ｕ ｅ ｎｔ ｄ ｂ ｈ ｎ ｕ ｏ ａ ａ ｏ ｈ ｂ ｆ ｈ ｍｅ ｈ ｉ ｏ ｉ ｔｕ ｉｎ ｄ ｔｃｉ ｎａ ｄ ｄ ｔ ｎ ｎ ｒ ｃ ｓ ｄｔ ｅｍａｎｆ ｎ ｔ ｎ ． ｈ ｓ ａ ｅ ｌ ｔ ｎｎ ｔ ｓｏ ｅｅ ｔ ｎ ｃ ａ ｓ ｆ ｒ ｓｏ ｅｅ ｔ ａ ｍｉ ｉｇ ｐ ｏ ｅ ｓａ ｉ ｃｉ ｓ ｉ ｐ ｐ ｒａｓ ｄ ａ ｍｉｉ ｇｉ ｉ ｒ ｉｎ ｄ ｔｃｉ ｎ ｍ ｎ ｏ ｎ ａ ｎ ｈ ｕ ｏ Ｔ ｏａ ｎｎ ｕ ｏ ｍａ ｅｓ ｄ ｉ ｌ ｅ ｐ ｓ ｉｎ ｉｔ ｄ ｃ ｓｓ ｖ ｒｌ ｏ ３ ｏ ｍｐ ｅ ｘ ｏ ｉ ｏ ， ｒ ｕ ｅ ｅ ｅ ａ ｎ￣ ｎｍｅｈ ｄ ．ｉ ａｌ，ａ ｍｉｉ ｇ ｂ ｓ ｄｉｔｕ ｉ ｎｄ ｔｃｉ ｎ ａ ａｙ ｅ ｈ ｅａ ｖ ｔ ｇ ｓ ｔ ｎｏ ｃ ｔｏ ｓ ｎ ｌ ｄ ｔ ｎ ｎ － ａ ｅ ｎ ｒ ｓｏ ｅｅ ｔｏ ｎ ｌ ｚ ｓｔ ｄ ａ ａ ｅ Ｆ ｙ ａ ｎ ａ ｄｄ ｓ ｄ ａ ｔｇ ｓ ｎ ｉ ｖ ｎａ ｅ． ａ Ｋｅ ｗｏ ｄ ： ｔ ｓｏ ｅｅ ｔ ｎ Ｄａ ｎ ｉｇ Ａｎ ｍａｙ ｄ ｔ ｔ ｎＡｓｏ ｉｔ ｎｒ ｌｓＣ ｕ ｔｒ ｎ ｌ ｓ ｙ ｒ ｓＩ ｒ ｉｎｄ ｔ ｃ ｏ ； ｔ ｍｉ ｎ ； ｏ ｌ ｅｅ ｉ ； ｓ ａｉ ｕｅ ； ｌ ｓｅ ａｙ ｉ ｎ ｕ ｉ ａ ｃ ｏ ｃ ｏ ａ ｓ
引言 随 着计 算机 网络 的爆 炸 性发展 ，使得 网络 攻击 变得 越来 越 容 易 ，入 侵者 采用 的攻 击 手段 和技 术都 在不 断地 发 生变化 。计算 机 的网络安全 问题 已经成为计算机领域中的一个非常重要而且又迫 在眉睫的重要研究问题和方向。日新月异的网络入侵事件对网络 安全 的发展 也起 到 了极 大的 促进 作用 。 目前 网络 安全 的主 要技 术 手段 有 防火 墙技 术 、身 份认 证系 统等 等 ，但是 这些 技术 大 多数 属 于静 态 安全 防 范技术 ，它们 对非 法入 侵起 到 了一 定的抑 制 作用 ， 可 是从 安全 管理 的 角度 来看 ，只 有被 动 的防御 是 不足 以达 到人 们 对 网络 安全 的要 求 ，所 以更 应该采 用 主动 的动 态策 略 。 ＩＳ 术 Ｄ技 是 一种 动态 策略 ，它 是 检测 和控 制技 术 ，能够 提供 实 时 的网络 安 全服 务 ， 为攻击 和 反攻 击提 供动 态保 护 。因此 入侵 检测 技 术是 网 络安全的重要组成部分， 对它的研究具有很强的现实性和紧迫性 。 二 、入 侵检 测系 统 侵 检测 系统 ＩＳ指的 是一种 硬件 或 者软 件系 统 ，该系 统对 系 Ｄ 统资源的非授权使用能够做出及时的判断、记录和报警。 入 侵检 测 是一种 增 强系 统安 全的 有效 的方 法 ，能检 测 出系 统 中违 背 系统 安全 规 则或 者威 胁到 系统 安全 的活 动 。检测 时，通 过 对系统中用户行为或系统行为的可疑程度进行评估，并根据评价 结 果来 鉴 别系统 中行 为 的正 常性 ，从 而 帮助 系统 管理 员进 行 安全 管理或对系统所受到的攻击采取相应的对策。目前入侵检测常用 的方法 有三 种 ：静态 配 置分 析 、异常 性检 测方 法和 基 于行 为 的检 测 方法 。 （ ）静态 配 置分 析 。静态 配置 分析 方 法就 是通 过对 系统 的 一 配置进行检查，比如通过检查系统文件内容，来检查系统是否存 在 受到 破坏 的威胁 。静 态就 是指 通过 检 查系统 的 静态特 征 来确 定 系 统 的安 全性 。采用 静 态分 析 的方法 就 是针对 入 侵者 对系 统攻 击