基于数据挖掘的Snort系统改进模型的研究

论文摘要

网络技术的快速发展和网络应用的普及给人类生产和生活带来了革命性的变化,这也使得人类面临着一种新的威胁—网络安全。入侵检测技术作为一种必要的安全手段,在网络安全领域发挥着其独到的作用。Snort作为典型的轻量级网络入侵检测系统,属于所谓的误用检测模式。该方法是事先设定好入侵规则库,然后通过规则匹配来发现入侵数据,其最大缺陷就是不能发现新的入侵行为,漏报率较高。以Snort为例研究误用检测模型的改进问题,使其具备对于新入侵行为的检测能力具有重要的理论和实际意义。本文在深入剖析Snort系统检测机制的基础上,通过分析固有检测机制存在的对于新的入侵行为无能为力、漏报率较高、检测速度以及缺少规则库自动扩充机制等问题,引入数据挖掘理论,设计了基于数据挖掘理论的Snort网络入侵检测系统的改进模型。该模型在Snort检测模型的基础上增加了正常行为模式挖掘模块、异常检测引擎模块、数据分类模块和新规则生成模块。分析表明,新模型使得系统同时具有了从新的入侵行为中学习新规则和从正常数据中学习正常行为模式的双重能力,从而达到对于新入侵行为的检测和提前分流正常系统行为的目标。根据该改进模型,设计并实现了一个基于数据挖掘的Snort入侵检测系统。经过采用林肯实验室的样本数据对改进系统的测试,测试结果表明,新模型具备了规则自动扩充机制,能够有效地检测到新的入侵行为,进而降低了Snort系统的漏报率,同时提高了系统的检测效率。

论文目录

• 摘要
• Abstract
• 1 前言
• 1.1 研究背景及意义
• 1.2 国内外研究现状
• 1.3 主要研究内容及论文的组织结构
• 1.3.1 研究内容与成果
• 1.3.2 论文的组织结构
• 2 入侵检测与数据挖掘理论
• 2.1 入侵检测技术
• 2.1.1 入侵检测概述
• 2.1.2 入侵检测系统的分类
• 2.1.3 入侵检测系统的基本模型
• 2.1.4 Snort网络入侵检测系统
• 2.1.5 入侵检测的发展趋势
• 2.1.6 入侵检测系统面临的挑战
• 2.2 数据挖掘技术
• 2.2.1 数据挖掘概述
• 2.2.2 数据挖掘的过程
• 2.2.3 数据挖掘的主要功能
• 2.2.4 数据挖掘技术在入侵检测中的应用
• 2.2.5 基于数据挖掘的入侵检测系统的主要优点
• 2.3 本章小结
• 3 基于数据挖掘的Snort改进模型
• 3.1 Snort入侵检测系统剖析
• 3.1.1 Snort系统的检测模型
• 3.1.2 Snort系统的工作流程
• 3.1.3 Snort系统优缺点分析
• 3.2 Snort系统检测模型的改进
• 3.2.1 基于数据挖掘的Snort改进模型的设计思想
• 3.2.2 基于数据挖掘的Snort改进模型的体系结构
• 3.2.3 基于数据挖掘的Snort改进模型的工作流程
• 3.2.4 改进模型的核心功能模块
• 3.2.5 改进模型的分析
• 3.3 本章小结
• 4 基于数据挖掘的Snort改进系统的实现
• 4.1 Snort网络入侵检测系统的建立
• 4.1.1 建立Snort入侵检测系统的准备工作
• 4.1.2 一个较完备、实用的Snort入侵检测系统的具体实现
• 4.1.3 Snort网络入侵检测系统的调试和测试
• 4.2 改进模型的实现
• 4.2.1 相关数据库的创建
• 4.2.2 正常行为模式库的构建过程
• 4.2.3 异常检测模块的实现
• 4.2.4 数据分类模块的设计与实现
• 4.2.5 新入侵规则生成模块的设计与实现
• 4.3 对基于数据挖掘的Snort改进系统进行调试
• 4.4 本章小结
• 5 模拟实验与结果
• 5.1 测试工具与测试方法
• 5.1.1 测试工具profile的使用
• 5.1.2 DARPA与IDS测试理论
• 5.2 模拟实验及结果对比
• 5.2.1 系统改进效率的测试
• 5.2.2 新规则规则扩充能力的测试
• 5.3 实验结果分析
• 5.4 本章小结
• 6 总结与展望
• 6.1 工作总结
• 6.2 未来展望
• 致谢
• 参考文献
• 附录