数据挖掘在网络入侵检测中的应用

论文摘要

近年来,互联网得到了长足的发展,但是网络本身的安全问题也日显突出,网络安全的一个主要威胁就是通过网络对信息系统的入侵。入侵检测系统(IDS)作为主动的信息安全保障措施,有效地弥补了传统安全防护技术的缺陷。入侵检测技术是继“防火墙”、“数据加密”等传统安全保护措施后的又一种新的安全保障技术,它用于对计算机和网络资源上的恶意使用行为进行识别和响应。近些年来,无论从规模上和方法上,入侵手段和入侵技术都有了很大的发展和变化。因此,对入侵攻击的检测与防范、保障计算机系统、网络系统及整个信息基础设施的安全已经成为刻不容缓的重要课题。 黑客如何侵入某一目标?工具和方法有很多种,本文主要研究了拒绝服务攻击(DoS攻击)的原理。黑客一般采用网络扫描侦查目标系统的情况,搜集目标系统信息,再决定下一步行动。其中TCP扫描是最基本的扫描,典型的TCP端口扫描通过发送SYN包给目标机器来工作。如果端口开放,目标机器将返回SYN/ACK包,如果端口不开放,服务器将返回SYN/RST包,或者没有返回。通过这种办法,黑客可以了解目标机上哪些端口是开放的。对目标系统作端口扫描,并不是直接攻击系统漏洞,但是它主要找出目标机的某些内在的弱点,再进一步破坏系统安全。针对这种攻击,异常入侵检测可以发现数据包中的不符合协议的规范。异常检测先建立一个关于系统正常活动的状态模型并设定阈值,如果发现用户行为超过了观察值(阈值),则发出警报。 入侵检测系统对受保护网段上的数据包进行侦听和分析,判断是否发生入侵行为,并在入侵行为发生时,实时做出响应。采用异常入侵检测技术,建立系统正常的行为模式。数据挖掘技术中的一些方法能够很好的表述网络系统的正常行为模式,所以它可以被用于异常网络入侵检测。 此次研究深入了解了当前常见的IDS系统,熟悉了当前系统的设计原理、设计思路、实现方法等。本文设计的系统主要流程包括数据采集、数据预处理、异常入侵检测、和发出报警。在合理确定正常行为模式基础上,本文提出了一个基于数据挖掘的入侵检测系统模型,异常检测的方式加以实现,能够检测DoS攻击。

论文目录

• 摘要
• Abstract
• 目录
• CONTENTS
• 第一章 绪论
• 1.1 问题背景
• 1.1.1 入侵的概念
• 2DR安全模型'>1.1.2 入侵检测与p²DR安全模型
• 1.2 入侵检测概述
• 1.2.1 入侵检测技术的定义
• 1.2.2 入侵检测的方法分类
• 1.3 入侵检测技术的现状和发展趋势
• 1.3.1 入侵检测技术的国内外发展现状
• 1.3.2 入侵检测系统的发展趋势
• 1.4 数据挖掘与入侵检测
• 1.4.1 现有入侵系统的不足
• 1.4.2 数据挖掘概述
• 1.4.3 数据挖掘发现的知识
• 1.4.4 数据挖掘系统体系结构及运行过程
• 1.4.5 DMIDS（Data Mining Intrusion Detection System）的优点
• 1.5 课题研究的主要内容及章节安排
• 第二章 DOS攻击的分析
• 2.1 CVE介绍
• 2.2 什么是拒绝服务（DoS）和拒绝服务攻击（DoS Attack）
• 2.3 DoS攻击产生的原因
• 2.3.1 关于TCP协议
• 2.3.2 DoS攻击产生的原因
• 2.4 常见的DoS攻击介绍
• 2.4.1 SYN Flooding攻击
• 2.4.2 Teardrop攻击
• 2.4.3 Smurf攻击
• 2.4.4 UDP洪水（UDP Flood）
• 2.4.5 分布式拒绝服务攻击（DDoS Attack）
• 2.5 防范DoS／DDoS攻击的重要性
• 2.6 小结
• 第三章 系统总体结构设计
• 3.1 CIDF结构
• 3.2 基于数据挖掘的入侵检测系统结构
• 3.3 系统整体流程
• 3.4 小结
• 第四章 数据采集和数据预处理
• 4.1 数据采集模块
• 4.1.1 数据采集模块的整体流程图
• 4.1.2 数据采集的实现步骤
• 4.2 数据预处理模块
• 4.2.1 以太帧的解包
• 4.2.2 IP数据包的解包
• 4.2.3 传输层数据包的解包和存储
• 4.3 数据库包头信息存储
• 4.4 小结
• 第五章 数据挖掘在数据分析中的应用
• 5.1 关联算法
• 5.1.1 关联规则的基本概念及算法
• 5.1.2 Apriori算法
• 5.2 频繁模式挖掘
• 5.3 系统规则挖掘模块参数的选取
• 5.4 构建规则库的方法
• 5.5 正常行为库的构建方案与完备性
• 5.6 小结
• 第六章 Dos攻击检测实例
• 6.1 扫描攻击检测
• 6.1.1 扫描攻击的特征
• 6.1.2 扫描攻击的检测
• 6.2 几种拒绝服务攻击的检测
• 全文总结
• 独创性声明
• 致谢
• 参考文献