基于选择性集成的入侵检测系统的研究与实现

论文摘要

近几年来,随着Internet的迅速发展,信息安全问题日益突出,入侵检测是信息安全体系结构中的一个重要环节。但现有的入侵检测方法只能对某些特定的或已知的入侵行为取得较好的效果,有时误报率之高甚至严重影响了系统的性能。如何有效检测或防止入侵行为的发生,降低误报率已经成为亟待解决的问题。 为了提高入侵检测系统的性能,本文将选择性集成的思想引入到入侵检测系统的实现中。在综合分析各种入侵检测数据源的基础上,首先定义了入侵特征通用数据模型,将当前事件的源数据规范化为通用模型所确定的数据格式,并获得该事件的特征向量;然后根据特征向量中的类型属性确定当前向量的类别,选择相应的入侵检测分析引擎;接着利用选择性集成的思想,定义了一个集成函数,对不同的检测方法得到的结果进行选择性集成,从而获得对一类事件的结论;本文的最后,利用DARPA数据源,对文中的各个检测算法进行验证,并利用ROC曲线图来证明引入选择性集成方法的入侵检测系统的检测性能优于单个入侵检测方法,也优于集成全部检测算法,有效地降低了系统的误报率。 论文的主要贡献点在于: 1.自主定义了一个入侵特征通用数据模型E_ⅰ=BASE(?)CLASS_ⅰ(1≤ⅰ≤n)。该模型用一个基特征BASE和n个类特征CLASS_ⅰ的自然连接来表示一类事件。其中,基特征定义了所有事件的公有属性,类特征则体现了各类事件的个性化特征。入侵特征通用数据模型可采用二维存储方式来进行存储。 2.在系统中,引入了选择性集成方法,并定义了一个集成函数H(X)=sum from t=1 to T(α_th_t(x))。将若干个不同的检测算法分别看成是个体分类器,赋予输入数据集相同的权值。通过不断训练,逐步调整数据集和检测结果的权值,最终利用集成函数进行加权集成,有效提高了检测性能。

论文目录

• 第1章 绪论
• 1.1 入侵检测概述
• 1.1.1 入侵检测技术的发展
• 1.1.2 通用入侵检测模型及其原理
• 1.1.3 入侵检测的分类
• 1.1.4 入侵检测采用的主要检测方法
• 1.2 选择性集成
• 1.3 系统实现思路
• 1.4 本文研究的内容及论文组织
• 第2章 入侵特征通用数据模型的定义
• 2.1 二元通用数据模型
• 2.1.1 数据结构及形式化定义
• 2.1.2 类特征的形式化表示
• 2.2 约束关系
• 2.3 模型的存储
• 2.4 模型分析
• 2.5 特征提取
• 2.5.1 特征分析
• 2.5.2 元素的获取
• 第3章 入侵检测算法
• 3.1 基于神经网络的入侵检测方法
• 3.1.1 神经网络用于入侵检测的优点
• 3.1.2 神经网络数据（学习样本）的选取和处理
• 3.1.3 神经网络的训练和检测
• 3.2 基于数据挖掘的入侵检测方法
• 3.2.1 特征数据的选择与处理
• 3.2.2 序列分析算法描述
• 3.2.3 关联分析算法描述
• 3.3 基于一种相对 Hamming距离的入侵检测方法
• 3.3.1 正常行为特征的提取
• 3.3.2 正常行为特征数据库的建立
• 3.3.3 算法描述
• 3.4 基于无监督聚类的入侵检测算法
• 3.4.1 基于无监督算法的入侵检测算法的数据预处理
• 3.4.2 无监督聚类算法
• 第4章 选择性集成算法
• 4.1 选择性集成
• 4.2 基于聚类算法的选择性集成
• 4.2.1 聚类算法
• 4.2.2 基于 Bagging的选择性聚类集成
• 4.3 基于神经网络算法的选择性集成
• 4.4 基于多决策树的选择性集成学习算法
• 4.4.1 决策树简介
• 4.4.2 多决策树选择性集成
• 4.5 算法性能分析评价
• 4.5.1 基于 Bagging聚类的选择性集成算法的性能分析
• 4.5.2 基于神经网络的选择性集成学习算法的性能分析
• 4.5.3 基于多决策树的选择性集成学习算法的性能分析
• 4.6 集成函数 H（X）的定义
• 4.7 结论
• 第5章 基于选择性集成的入侵检测系统的实现
• 5.1 系统的实现过程
• 5.2 数据的收集与预处理
• 5.2.1 网络事件的收集与预处理
• 5.2.2 主机日志的收集与预处理
• 5.3 特征提取
• 5.4 入侵检测算法模块的实现
• 5.4.1 基于神经网络的入侵检测模块的实现
• 5.4.2 基于关联分析的入侵检测模块的实现
• 5.4.3 基于无监督聚类的入侵检测模块的实现
• 5.5 选择性集成算法的实现
• 5.6 结果性能比较分析
• 第6章 总结与展望
• 6.1 总结
• 6.2 进一步的工作
• 致谢
• 参考文献
• 硕士期间发表论文