数据挖掘在蜜罐日志分析中的应用研究

论文摘要

蜜罐(Honeypot)是一种新型的主动防御的安全技术。它是一个专门为了被攻击或入侵而设置的欺骗系统;它既可以用于保护产品系统,又可用于搜集黑客信息,是一种配置灵活、形式多样的网络安全技术。蜜罐只收集少量且有价值的数据。与入侵检测系统相比,大大降低了漏报、误报的发生,这就可以将注意力集中在数据分析方面。随着网络攻击数量和种类的不断增加,基于蜜罐的海量攻击日志分析变得更加困难和耗时,而在分析中使用数据挖掘技术可以有效提高分析效率。数据挖掘方法可以是无指导的知识发现过程(KDD: Knowledge Discovery in Databases),从大量的网络数据包中提取出人们感兴趣的、事先未知的知识和规律。采用数据挖掘的方法对蜜罐收集的数据进行分析,利用得到的模式或规律,还可以进行趋势分析、攻击预测,从而发现攻击行为的特征和规律。文中首先以开源蜜罐系统Honeyd为例阐述了蜜罐的原理和发展现状,然后详细介绍了对进行了预处理的日志数据进行聚类分析、关联规则挖掘和序列模式挖掘的算法,找出不同数据记录之间的相似性和相关性,以及那些频繁在一起发生基于时间的审计数据的序列,从中发现并理解攻击者的攻击行为和攻击模式。文章建立了一套适合日志分析的数据挖掘算法体系,并对相关算法进行了改进和优化。最后,对在公网环境下部署的蜜罐系统所收集的日志数据进行数据分析和数据挖掘,并对实验结果进行了分析与总结,比较了不同算法的适用性及有效性,验证了数据挖掘技术应用于蜜罐日志分析中的可行性。

论文目录

• 摘要
• ABSTRACT
• 第一章 绪论
• 1.1 研究背景和意义
• 1.2 国内外相关研究
• 1.2.1 蜜罐技术研究现状
• 1.2.2 数据挖掘研究现状
• 1.2.3 蜜罐日志分析研究现状
• 1.3 论文的主要工作及章节安排
• 第二章 蜜罐及Honeyd技术概述
• 2.1 蜜罐的基本概念
• 2.2 主要蜜罐工具
• 2.3 Honeyd 蜜罐系统
• 2.3.1 Honeyd的优势
• 2.3.2 功能原理
• 2.3.3 体系结构
• 2.3.4 日志监控
• 2.4 本章小结
• 第三章 数据挖掘技术概述
• 3.1 引言
• 3.2 数据挖掘对蜜罐日志分析的必要性
• 3.3 数据挖掘的原理
• 3.4 数据挖掘算法
• 3.4.1 聚类分析
• 3.4.2 关联规则挖掘
• 3.4.3 序列模式挖掘
• 3.5 本章小结
• 第四章 Honeyd蜜罐日志分析算法与实现
• 4.1 Honeyd 日志格式
• 4.2 聚类分析提取网络攻击模式
• 4.2.1 引言
• 4.2.2 互联网异常流量的NetFlow 分析
• 4.2.3 网络连接记录间的距离度量
• 4.2.4 构建聚类算法
• 4.2.5 规则提取
• 4.3 关联规则挖掘攻击的相关性
• 4.3.1 引言
• 4.3.2 数据预处理
• 4.3.3 经典算法
• 4.3.4 Apriori Proba 算法
• 4.4 对攻击模式进行序列模式挖掘
• 4.4.1 序列规则定义
• 4.4.2 数据预处理
• 4.4.3 序列模式的发现
• 4.4.4 序列阶段
• 4.4.5 Dyanmic count-some 算法
• 4.4.6 Selected AprioriAll算法
• 4.5 数据挖掘实现的优化
• 4.6 本章小结
• 第五章 实验测试及结果分析
• 5.1 实验环境
• 5.2 数据过滤
• 5.3 最小支持度与置信度的阈值
• 5.4 数据挖掘测试与结果分析
• 5.5 算法比较
• 5.6 本章小结
• 第六章 全文总结与展望
• 6.1 主要结论
• 6.2 未来研究展望
• 参考文献
• 符号与标记（附录1）
• 致谢
• 攻读硕士学位期间已录用的论文