基于系统调用的异常检测技术研究

论文摘要

当今的网络安全问题日益突出,入侵检测系统IDS(Intrusion DetectionSystem)已成为必不可少的安全手段。所谓入侵检测就是检测和识别针对计算机系统、信息系统、网络系统的非法攻击和入侵行为,该技术已经在全球范围内被广泛用来保护公司、组织的信息网络。但传统的入侵检测系统仍存在检测速度慢,漏检率高等缺陷。本文分析了传统IDS系统结构和检测方法,对神经网络NN(Neural Network)技术及其在IDS中的应用进行了深入的研究。从加快检测速度、提高准确率的角度出发,提出了一种基于神经网络的入侵检测新模型,该模型采用BP(BackPropagation)神经网络进行检测,将模式识别转化为数值计算,从而加快了检测速度,同时结合专家系统辅助检测并为神经网络提供实时的训练集,提高了检测的准确率。同时针对BP神经网络在实际应用中存在的问题,对BP算法进行了深入的研究。本文采用了基于神经网络和文本分类两种不同的检测方法。把特权程序和系统调用作为研究对象,通过比较已有的针对系统调用的检测方法,分析这些方法的不足,提出了将神经网络、漏桶算法、距离向量算法和文本分类算法应用到入侵检测的思想。实验表明,这些方法具有较高的检测率和较低的误报率。同时还利用ROC曲线对不同检测方法的检测性能进行评价。通过对比分析,验证了本文的检测方法的优越性。本文首先对入侵检测系统进行介绍,然后论证了将特权程序和系统调用作为研究对象的可行性。为了评价本文的检测方法,使用了DARPA数据集对入侵检测方法进行评估,同时介绍了该数据集的预处理过程。最后,对研究成果进行了总结,对比两种不同检测方法的性能,同时还介绍了本文的主要工作、不足之处和今后的努力方向。

论文目录

• 摘要
• ABSTRACT
• 第一章 引言
• 1.1 研究背景
• 1.2 入侵检测系统的现状
• 1.3 入侵检测的必要性和意义
• 1.3.1 网络面临的主要威胁
• 1.3.2 传统安全手段及其缺点
• 1.3.3 入侵检测的目的
• 1.3.4 研究入侵检测的意义
• 1.4 论文工作
• 第二章 入侵检测技术概述
• 2.1 入侵检测的概念
• 2.2 入侵检测系统的组成
• 2.3 入侵检测的分类
• 2.3.1 基于主机的入侵检测
• 2.3.2 基于网络的入侵检测
• 2.3.3 异常入侵检测
• 2.3.4 误用入侵检测
• 2.3.5 异常检测和误用检测的比较
• 2.3.6 混合型入侵检测系统
• 2.3.7 其它分类
• 2.4 入侵检测存在的问题
• 2.5 入侵检测的发展方向
• 2.5.1 宽带高速网络的实时入侵检测技术
• 2.5.2 大规模分布式入侵检测
• 2.6 入侵检测系统的标准化研究
• 2.6.1 CIDF标准
• 2.6.2 IDWG标准
• 2.7 小结
• 第三章 课题技术分析
• 3.1 研究对象
• 3.1.1 特权程序
• 3.1.2 系统调用
• 3.2 可行性分析
• 3.3 针对系统调用方法的研究进展
• 3.4 现有检测方法的不足
• 3.5 对已有方法的改进
• 3.6 小结
• 第四章 检测实验基础
• 4.1 DARPA数据集
• 4.2 DARPA数据集的优势
• 4.3 系统检测过程
• 4.4 检测预处理
• 4.4.1 BSM审计记录格式
• 4.4.2 抽取特权程序
• 4.5 检测性能评价的研究
• 4.5.1 性能指标
• 4.5.2 ROC曲线分析
• 4.6 小结
• 第五章 采用神经网络算法的检测方法
• 5.1 人工神经元
• 5.2 人工神经网络的拓扑结构
• 5.3 人工神经网络的工作原理
• 5.4 神经网络分类
• 5.5 多层前向网络
• 5.6 检测对象
• 5.7 检测方法
• 5.7.1 漏桶算法
• 5.7.2 距离向量算法
• 5.8 检测模型
• 5.9 检测实验
• 5.9.1 训练过程
• 5.9.2 检测过程
• 5.9.3 实验结果
• 5.10 小结
• 第六章 采用文本分类算法的检测方法
• 6.1 基本原理
• 6.1.1 文本分类
• 6.1.2 KNN分类算法
• 6.2 检测方法
• 6.3 面临的问题及算法改进
• 6.4 检测实验
• 6.4.1 训练过程
• 6.4.2 检测过程
• 6.4.3 实验结果
• 6.5 小结
• 第七章 结论与展望
• 7.1 结论
• 7.1.1 两种检测方法比较
• 7.1.2 本文的主要工作
• 7.1.3 不足之处
• 7.2 工作展望
• 致谢
• 参考文献