基于數據挖掘技術的入侵檢測系統

1 引言
隨著計算機網絡不斷發展，各種問題也隨之產生，網絡安全問題尤為突出。傳統的入侵檢測技術包括濫用檢測和異常檢測。其中，濫用檢測是分析各種類型的攻擊手段，找出可能的“攻擊特征”集合，可有效檢測到已知攻擊，產生誤報較少，但只能檢測到已知的入侵類型，而對未知的入侵類型無能為力，需要不斷更新攻擊特征庫；而異常檢測的假設條件是通過觀察當前活動與系統歷史正常活動情況之間的差異可實現攻擊行為的檢測。其優點是可檢測到未知攻擊，缺點是誤報和漏報較多。針對現有網絡入侵檢測系統的一些不足，將數據挖掘技術應用于網絡入侵檢測，以Snort入侵檢測系統模型為基礎，提出一種新的基于數據挖掘的網絡入侵檢測系統模型。

2 數據挖掘在入侵檢測系統中的應用
數據挖掘技術在入侵檢測系統(IDS)中的應用，主要是通過挖掘審計數據以獲得行為模式，從中分離出入侵行為，有效實現入侵檢測規則。審計數據由經預處理、帶有時間戳的審計記錄組成。每條審計記錄都包含一些屬性(也稱為特征)，例如，一個典型的審計日志文件包括源IP地址、目的IP地址、服務類型、連接狀態等屬性。挖掘審計數據是一項重要任務，直接影響入侵檢測的精確性和可用性，常用的挖掘方法有關聯性分析、分類、序列分析等。
(1)關聯性分析關聯分析就是要發現關聯規則，找出數據庫中滿足最小支持度與最小確信度約束的規則，即給定一組Item和一個記錄集合，通過分析記錄集合推導出Item間的相關性。一般用信任度(confidence)和支持度(support)描述關聯規則的屬性。關聯分析的目的是從已知的事務集W中產生數據集之間的關聯規則，即同一條審計記錄中不同字段之間存在的關系，同時保證規則的支持度和信任度大于用戶預先指定的最小支持度和最小信任度。
(2)分類映射一個數據項到其中一個預定義的分類集中，它輸出“分類器”，表現形式是決策樹或規則。在入侵檢測中一個典型的應用就是，收集足夠多的審計數據送交用戶或程序，然后應用分類算法去學習分類器，標記或預測新的正常或異常的不可見審計數據。分類算法要解決的重點是規則學習問題。
(3)序列分析用于構建序列模式，以發現審計事件中經常存在的時間序列。這些經常發生的事件模式有助于將時間統計方法應用于入侵檢測模型。例如，如果審計數據中包含基于網絡的拒絕服務攻擊DOS(Denial of Service Attack)行為．由此得到的模式就要對在這一時間段內工作的每個主機和每項服務進行檢測。