混合入侵检测模型及关键算法的研究

论文摘要

摘要：由于网络规模的不断扩大以及网络环境的日益复杂，网络安全问题呈现不断恶化的趋势。入侵检测作为一种新兴网络防护技术，能很好的保护网络免遭危害。但采用单一检测方式（如特征匹配）的IDS无法应付不断涌现的新攻击和专业的黑客入侵，在这样的背景下，混合入侵检测逐渐受到了人们的重视。本文对混合入侵检测结构模型及其相关检测算法展开研究。在分析当前入侵检测的国内外研究现状以及前人做的一些工作的基础上，从降低IDS数据负载和提高检测精度和效率的角度出发，考虑改进混合入侵检测结构中的误用模块和异常模块的组织方式，并对基于误用检测的Boyer-Moore算法和基于异常检测的K-means算法提出各自的改进方案。论文主要的工作内容如下：（1）提出了一种新型的混合入侵检测结构。此结构以提高入侵检测系统的效率及精确度为目标，并考虑有机的结合误用检测和异常检测的优点，将误用检测模块和异常检测模块并联起来运行，并在误用检测中增加正常模式特征库，减少了IDS的数据处理量。（2）提出了基于误用检测的Boyer-Moore算法的改进算法BMHSW。改进算法结合BMH算法和BMHS算法的右移思想，并巧妙的利用首末字符的组合性，将模式串的一次性最大右移提高到了2m+2位，非常有效的减少了匹配过程中的字符比较次数。实验结果也表明，BMHSW算法降低了模式匹配的时间损耗，提高了匹配速度。（3）对基于异常检测的K-means算法进行了改进。针对K-means算法敏感初始聚类中心的缺点，提出了一种选择初始聚类中心的新方法。该方法通过每次都选择相距最远的两个数据对象不断的划分最大数据集，直到得到K组数据子集为止的方式获得K个初始聚类中心。该K个初始聚类中心中的任意两个都有着较大的距离，用作K-means算法的输入可以获得高质量的聚类结果。在KDDcup99数据集上的对比实验也表明了新方法的优越性。

论文目录

• 致谢
• 摘要
• Abstract
• 图清单
• 表清单
• 1 绪论
• 1.1 课题研究的背景及意义
• 1.2 入侵检测系统的国内外研究现状
• 1.3 论文主要研究内容及创新
• 1.4 论文的组织结构
• 2 入侵检测系统综述
• 2.1 网络入侵及入侵检测的定义
• 2.2 入侵检测系统（IDS）
• 2.3 通用入侵检测模型（Denning 模型）
• 2.4 入侵检测系统的标准化
• 2.5 入侵检测系统的分类
• 2.5.1 按数据源不同划分
• 2.5.2 按检测原理不同划分
• 2.6 入侵检测技术
• 2.7 本章小结
• 3 新的误用和异常结合的混合入侵检测
• 3.1 入侵检测系统面临的主要挑战
• 3.2 一种新的混合式入侵检测结构
• 3.2.1 传统混合入侵检测结构的不足
• 3.2.2 新的混合结构的提出
• 3.3 混合式入侵检测中的关键算法
• 3.3.1 模式匹配算法
• 3.3.2 聚类算法
• 3.4 特征自动提取
• 3.4.1 特征自动提取的定义及其面临的挑战
• 3.4.2 特征自动提取方法
• 3.4.3 特征自动提取在入侵检测中的应用
• 3.5 本章小结
• W 模式匹配算法'>4 基于误用检测的 BMHS_W模式匹配算法
• 4.1 BM 算法
• 4.2 BM 算法的相关改进算法
• 4.2.1 BMH（BM-Horspool）算法
• 4.2.2 BMHS（BMH-Sunday）算法
• 4.2.3 其他的一些改进方法
• W（BMHS_Widely）算法'>4.3 新的 BM 改进算法 BMHS_W（BMHS_Widely）算法
• W 算法的基本思想'>4.3.1 BMHS_W算法的基本思想
• W 算法性能分析'>4.3.2 BMHS_W算法性能分析
• 4.3.3 实验对比
• 4.4 本章小结
• 5 基于异常检测的 K-means 算法改进
• 5.1 K-means 算法简介
• 5.1.1 K-means 算法的基本思想
• 5.1.2 K-means 算法的不足
• 5.2 改进 K-means 算法初始聚类中心选择的新方法
• 5.2.1 算法的基本思想
• 5.2.2 算法的实现
• 5.3 改进初始聚类中心选择的 K-means 算法实验仿真
• 5.3.1 实验数据集介绍
• 5.3.2 数据预处理
• 5.3.3 仿真实验结果分析
• 5.4 本章小结
• 6 总结与展望
• 6.1 论文工作总结
• 6.2 存在的问题及下一步工作计划
• 参考文献
• 附录 A KDD cup 1999 数据集属性特征描述表
• 作者简历