基于聚类技术识别新型态的网络入侵检测研究

论文摘要

作为信息安全的重要组成部分,防火墙系统起着非常关键的作用,然而防火墙一般都是一种消极的入侵防御手段,面对已经产生的新的入侵行为,防火墙基本上不能起到应有的作用。由此,入侵检测系统(IDS)应运而生,让它和防火墙一同工作,从被动防御走向主动抵御。然而,由于网络异常入侵的新型态层出不穷,如何在入侵检测系统中应对这些新型态的入侵越来越受到人们的重视。传统的入侵检测系统一般是基于已经发生过的入侵攻击数据进行学习,从这些学习中将其划分到异常入侵类别中,而新的入侵型态并没有什么数据可以从中学习得到,这样一来,入侵检测系统也就无法对其划入某一个异常入侵类别了,显然也就无法对这些入侵进行拦截。本文研究使用聚类技术(clustering)对异常数据进行区分,鉴于聚类技术是一种非监督式的学习方法,它可以在数据类别未知的情况下,利用数据特性等将某些类似性质的数据划分成一类组中,当入侵检测系统上有新型态的攻击数据发生,将会因为数据本身的差异而被挖掘出来,通过实验证明,本文提出的方法虽然在误判率上不算太令人满意,但对于新型态的入侵异常数据以及已知型态的入侵检测数据的识别能力相比CUBID方法都好,可以作为入侵检测系统检测异常的一种有效方法。

论文目录

• 摘要
• ABSTRACT
• 第一章 绪论
• 1.1 课题相关的问题背景
• 1.2 课题的引入与研究动机
• 1.3 论文的主要工作
• 1.4 主要研究方法
• 第二章 基于聚类技术的网络入侵检测相关技术
• 2.1 入侵异常检测技术
• 2.2 异常检测的方法
• 2.2.1 以距离为基础的异常检测方法
• 2.2.2 以分配为基础的异常检测方法
• 2.2.3 以密度为基础的异常检测方法
• 2.3 聚类方法
• 2.3.1 分割式聚类
• 2.3.2 层次式聚类
• 2.3.3 密度为基础的聚类以及格状聚类
• 2.3.4 其它聚类方法
• 2.4 与入侵异常检测相关的检测方法
• 2.5 入侵攻击行为
• 2.5.1 PROBE入侵攻击
• 2.5.2 U2R和R2L入侵攻击
• 2.5.3 DOS入侵攻击
• 第三章 聚类技术及其相关
• 3.1 数据预处理
• 3.2 数据聚类过程
• 3.2.1 K-means方法
• 3.2.2 CURE方法
• 3.2.3 DBSCAN方法
• 3.3 区分正常分组与异常分组的方法
• 3.4 新型态异常入侵的检测
• 3.4.1 个别性阀值设定
• 3.4.2 整体性阀值设定
• 3.5 性能测试方法
• 第四章 基于聚类技术识别新型态的实验研究
• 4.1 基于聚类技术的入侵检测系统的平台搭建
• 4.1.1 数据采集过程
• 4.1.2 数据预处理过程
• 4.1.3 数据挖掘过程
• 4.1.4 检测及报警过程
• 4.2 识别能力测试
• 4.2.1 K-means测试结果
• 4.2.2 CURE测试结果
• 4.2.3 DBSCAN方法测试
• 4.2.4 本节小结
• 4.3 新型态识别能力测试
• 4.3.1 K-means测试结果
• 4.3.2 CURE测试结果
• 4.3.3 DBSCAN测试结果
• 4.3.4 小结
• 4.4 实际数据文件测试
• 4.4.1 数据文件说明
• 4.4.2 K-means测试结果
• 4.4.3 CURE测试结果
• 4.4.4 DBSCAN测试结果
• 4.4.5 综合比较
• 第五章 工作总结与展望
• 5.1 工作总结
• 5.2 工作展望
• 参考文献
• 致谢
• 攻读学位期间参加的科研项目和成果