基于多种检测器混合的入侵检测技术

论文摘要

入侵检测系统是继“防火墙”、“数字签名”、“访问控制”等传统静态安全保护措施之后的又一道安全闸门。传统的入侵检测系统采用模式匹配的方法来实现检测，在自适应性方面表现得不够理想。将数据挖掘技术应用于网络入侵检测，可以充分发挥数据挖掘处理大数据量的优势，提高检测的效率和准确性，但是存在一定的误检率。本文首先设计了一个基于模式匹配和数据挖掘的入侵检测系统模型，具体分析了每个模块完成的功能并给出模块的具体实现方法，在基于模式匹配的检测设计部分提出了使用经典的AC_BM多模匹配算法进行检测的思想。论文详细地分析了引入数据挖掘的知识对网络数据包首部信息进行检测的模块，完成了对原始数据的预处理、高精度分类模型的构造和系统的功能实现。预处理的过程就是基本属性的提取过程，在构建分类模型时，特征属性的选择直接影响模型的精度，而特征属性来源于基本属性，因此本文设计了一个完整的预处理过程，实现了从原始数据集中对连接记录的基本属性的提取。论文通过分析影响分类模型精度的多种因素，在大量的实验基础上选择了合适的特征属性以构建分类模型。在分类算法中通过对ID3、C4.5以及一些扩展算法的分析，选择了规则易于理解、准确率较高并且也符合实时性要求的C4.5算法。在模型中实现连接记录的转化、属性的选择和规则的形成功能。实验表明本系统所提出使用的特征属性所构建的分类模型能够较好地区分“正常”数据和“异常”数据。

论文目录

• 摘要
• Abstract
• 目录
• 1 绪论
• 1.1 课题研究的背景、目的及意义
• 1.2 国内外发展状况
• 1.2.1 国外研究现状
• 1.2.2 国内研究现状
• 1.3 本文的主要内容和结构
• 2 入侵检测与数据挖掘技术
• 2.1 入侵检测
• 2.1.1 入侵检测的概念
• 2.1.2 入侵检测的模型
• 2.1.3 入侵检测的分类
• 2.1.4 入侵检测的方法──模式串匹配
• 2.1.4.1 单模匹配算法
• 2.1.4.2 多模匹配算法
• 2.2 数据挖掘
• 2.2.1 数据挖掘的概念
• 2.2.2 知识发现
• 2.2.3 数据挖掘的模式和方法
• 2.2.4 基于数据挖掘的入侵检测
• 2.2.5 数据挖掘算法
• 2.3 本章小结
• 3 数据预处理
• 3.1 协议分析
• 3.2 WINDUMP 截获数据包的分析
• 3.2.1 WINDUMP 原始数据集格式
• 3.2.2 TCP 数据报文段的处理
• 3.2.2.1 原始数据报文段的基本属性的提取
• 3.2.2.2 形成一次连接的报文块
• 3.2.2.3 形成一条连接记录
• 3.3 本章小结
• 4 基于多检测器混合的入侵检测系统的结构设计
• 4.1 系统模型设计
• 4.2 在线模块
• 4.2.1 数据捕获模块
• 4.2.2 模式匹配
• 4.3 离线模块
• 4.3.1 预处理模块
• 4.3.1.1 数据集的选择
• 4.3.1.2 数据集处理输出格式
• 4.3.2 数据挖掘模块
• 4.4 分类模型构建
• 4.4.1 分类
• 4.4.1.1 分类的评估
• 4.4.1.2 分类器的构造方法
• 4.4.2 基于决策树的分类
• 4.4.2.1 典型决策树分类算法
• 4.4.2.2 本文中的基于决策树的分类模型
• 4.5 本章小结
• 5 分类模型的构建及系统实现
• 5.1 使用基本属性构建分类模型
• 5.2 使用扩展属性构建分类模型
• 5.3 系统实现
• 5.4 本章小结
• 6 结论及今后的工作
• 6.1 本文的工作
• 6.2 今后的工作
• 致谢
• 参考文献