网络入侵检测系统关键技术研究

论文摘要

计算机和网络技术的普及,在给人们的生活带来极大便利的同时,也将安全隐患传播到整个网络。正是由于网络的普及率越来越高,一旦发生有目的、大规模的网络入侵行为,其造成的影响就越恶劣。做为保护网络安全手段之一的入侵检测技术,一直被广大国内外学者所关注。由于网络规模的不断扩大,网络流量的不断增长和黑客技术的不断发展,对入侵检测的性能提出了更高的要求。本文以提高入侵检测技术的检测正确率,降低误警率和漏警率以及提高检测效率为技术目标,在检测技术、告警融合和分布式入侵检测系统的体系结构等方面进行了深入系统的研究,取得了一些创新性的研究成果,主要内容包括:1.在二分类入侵检测技术方面,提出了两种入侵检测技术。1)提出了基于条件熵遗传算法和支持向量机的入侵检测技术。根据入侵检测的特殊性,提出了条件熵遗传算法用于特征抽取,设计了新的遗传个体、适应度函数和自适应交叉变异概率。同时将基于条件熵遗传算法的特征抽取和支持向量机的分类模型进行联合优化。对提出的条件熵遗传算法的收敛性进行了理论分析。该入侵检测技术可以保证对不同攻击类型的入侵具有较高的分类准确率和检测效率。2)提出了基于核Fisher鉴别分析和支持向量机的入侵检测技术。将核Fisher鉴别分析用于入侵特征的抽取,并结合支持向量机进行分类。同时根据入侵检测样本数据高维、异构、小样本的特性,提出了基于异构距离度量的混合核函数。经过核Fisher鉴别分析抽取后的入侵特征非常适合于分类,因此能减少误警率和漏警率,同时大大降低训练时延,提高检测效率。2.在多分类入侵检测技术方面,提出了两种入侵检测技术。提出了基于核Fisher鉴别分析和多分类支持向量机的入侵检测技术。利用经过核Fisher鉴别分析后的训练数据不同类别样本的类中心距离构造优化的二叉树结构,从而扩展二分类支持向量机,实现多分类入侵检测。同时在构造二叉树的各个二分类支持向量机时,首先使用核Fisher鉴别分析进行特征抽取,然后在投影后的数据集上建立分类模型,提高各个二分类支持向量机的检测精度。由于构造了合理的二叉树结构,避免了误差累积效应带来的负面影响,同时提高了各个分类器的检测性能,因此能够显著提高多分类的检测正确率,尤其是对于较难检测的U2R和R2L攻击取得了较好的检测效果,提高了检测效率。提出了基于核Fisher鉴别分析和聚类的多分类支持向量机检测技术。结合入侵检测攻击样本和正常样本以及各种类型的攻击样本之间的边界不清晰的特点,引入模糊逻辑,将训练数据映射到核Fisher鉴别分析特征空间后,使用模糊聚类对投影后的数据进行分析,根据模糊隶属度矩阵提供的信息构造优化的二叉树结构,实现多分类。由于模糊逻辑的引入,可以更准确地表达入侵数据之间的关系,因此进一步提高了分类正确率,降低了误警率和漏警率。3.在告警融合方面,针对入侵检测系统产生的告警数量大,且大部分告警是冗余告警的情况,提出了基于乘性递增线性递减的动态窗口报警聚集算法,能够有效合成告警数据,去除重复告警,减少告警洪流的出现。针对目前大部分的攻击都是复合攻击,且入侵检测技术不可避免的漏警和误警现象,提出了基于证据理论和目标图模型的告警关联算法。根据网络攻防领域的特点,构建了网络攻防模型,在此基础上搭建入侵规划目标图模型。在进行入侵规划的识别时,首先使用证据理论对不同入侵检测系统产生的告警进行融合,确定待扩展的动作节点,扩展目标图,进而得到攻击规划,从而实现对复合攻击的有效识别。4.在分布式入侵检测系统的架构方面,提出了智能网格入侵检测系统。将入侵检测系统部署于网格环境中,不仅能够天然地继承网格分布式的优点,同时结合网格的特点,提出了检测技术也是一种资源的概念,而且这种资源是可以自适应于不同的网络环境的,从而提高网格入侵检测系统的扩展性和自适应能力。为了实现整个分布式系统的负载平衡,提出了基于资源可用度的调度算法。该智能网格入侵检测系统能够合理地利用检测资源,同时具有良好的可扩展性,在网络流量大的情况下仍然具有良好的检测性能。通过以上四个方面的研究,本论文为提高入侵检测系统的性能提供了一套比较完整的解决方法。

论文目录

• 摘要
• ABSTRACT
• 第1章 绪论
• 1.1 网络与信息安全现状
• 1.2 主要安全技术
• 1.3 本文研究的意义
• 1.3.1 入侵检测的必要性
• 1.3.2 现有入侵检测方法的局限
• 1.3.3 分布式入侵检测系统的部署问题
• 1.3.4 现有告警结果处理方法的局限
• 1.4 本文的研究内容及主要贡献
• 1.5 论文的组织结构
• 1.6 本章参考文献
• 第2章 入侵检测技术研究综述
• 2.1 检测技术的发展史
• 2.2 检测技术的分类
• 2.3 检测技术的评价指标
• 2.4 典型的检测技术
• 2.4.1 基于规则匹配的检测技术
• 2.4.2 基于贝叶斯推理的检测技术
• 2.4.3 基于数据挖掘的检测技术
• 2.4.4 基于遗传算法的检测技术
• 2.4.5 基于支持向量机的检测技术
• 2.4.6 基于神经网络的检测技术
• 2.4.7 基于人工免疫的检测技术
• 2.5 基于机器学习的入侵检测模型
• 2.6 本章小结
• 2.7 本章参考文献
• 第3章 二分类入侵检测技术
• 3.1 引言
• 3.2 基于支持向量机的入侵检测技术
• 3.3 基于条件熵遗传算法的特征抽取技术
• 3.3.1 遗传算法简介
• 3.3.2 遗传个体表示
• 3.3.3 适应度函数定义
• 3.3.4 遗传算子设计
• 3.4 基于CEGA-SVM的入侵检测技术算法描述
• 3.5 CEGA算法收敛性分析
• 3.6 仿真与分析
• 3.6.1 仿真数据集
• 3.6.2 仿真结果与分析
• 3.7 进一步讨论
• 3.8 基于KFDA的特征抽取技术
• 3.9 基于KFDA-SVM的入侵检测技术算法描述
• 3.10 混合核函数的选择
• 3.11 仿真与性能分析
• 3.12 本章小结
• 3.13 本章参考文献
• 第4章 多分类入侵检测技术
• 4.1 概述
• 4.2 多分类支持向量机概述
• 4.3 基于KFDA-MSVM的入侵检测技术算法描述
• 4.4 仿真与性能分析
• 4.4.1 仿真数据集
• 4.4.2 仿真结果与分析
• 4.5 进一步讨论
• 4.6 基于决策树的多分类支持向量机模型
• 4.6.1 FCM聚类算法
• 4.6.2 基于聚类的多分类支持向量机
• 4.7 基于KFDA和聚类的多分类支持向量机检测算法
• 4.8 仿真与性能分析
• 4.9 本章小结
• 4.10 参考文献
• 第5章 智能网格入侵检测系统
• 5.1 引言
• 5.2 分布式入侵检测系统概述
• 5.2.1 DIDS
• 5.2.2 CSM
• 5.2.3 IDA
• 5.3 智能网格入侵检测系统总体框架
• 5.3.1 设计理念
• 5.3.2 系统框架
• 5.4 数据采集引擎
• 5.5 数据分析引擎
• 5.5.1 数据分析模块
• 5.5.2 告警统计管理模块
• 5.6 调度引擎
• 5.7 告警融合引擎
• 5.7.1 告警聚集模块
• 5.7.2 告警关联模块
• 5.7.2.1 典型的告警融合技术
• 5.7.2.1.1 基于已知攻击过程的告警关联
• 5.7.2.1.2 基于因果关系的告警关联
• 5.7.2.1.3 基于贝叶斯网络的告警关联
• 5.7.2.2 网络攻防模型
• 5.7.2.3 目标图模型
• 5.7.2.4 目标图扩展算法
• 5.7.2.5 规划生成算法
• 5.8 仿真与性能分析
• 5.9 本章小结
• 5.10 参考文献
• 第6章 总结与展望
• 6.1 本文的工作
• 6.2 进一步工作
• 缩略词
• 致谢
• 发表或已录用论文、专利