基于数据挖掘技术的入侵检测系统解决方案

　　1引言

　　随着计算机网络不断发展，各种问题也随之产生，网络安全问题尤为突出。传统的入侵检测技术包括滥用检测和异常检测。其中，滥用检测是分析各种类型的攻击手段，找出可能的“攻击特征”集合，可有效检测到已知攻击，产生误报较少，但只能检测到已知的入侵类型，而对未知的入侵类型无能为力，需要不断更新攻击特征库；而异常检测的假设条件是通过观察当前活动与系统历史正常活动情况之间的差异可实现攻击行为的检测。其优点是可检测到未知攻击，缺点是误报和漏报较多。针对现有网络入侵检测系统的一些不足，将数据挖掘技术应用于网络入侵检测，以Snort入侵检测系统模型为基础，提出一种新的基于数据挖掘的网络入侵检测系统模型。

　　2数据挖掘在入侵检测系统中的应用

　　数据挖掘技术在入侵检测系统(IDS)中的应用，主要是通过挖掘审计数据以获得行为模式，从中分离出入侵行为，有效实现入侵检测规则。审计数据由经预处理、带有时间戳的审计记录组成。每条审计记录都包含一些属性(也称为特征)，例如，一个典型的审计日志文件包括源IP地址、目的IP地址、服务类型、连接状态等属性。挖掘审计数据是一项重要任务，直接影响入侵检测的精确性和可用性，常用的挖掘方法有关联性分析、分类、序列分析等。

　　(1)关联性分析关联分析就是要发现关联规则，找出数据库中满足最小支持度与最小确信度约束的规则，即给定一组Item和一个记录集合，通过分析记录集合推导出Item间的相关性。一般用信任度(confidence)和支持度(support)描述关联规则的属性。关联分析的目的是从已知的事务集W中产生数据集之间的关联规则，即同一条审计记录中不同字段之间存在的关系，同时保证规则的支持度和信任度大于用户预先指定的最小支持度和最小信任度。

　　(2)分类映射一个数据项到其中一个预定义的分类集中，它输出“分类器”，表现形式是决策树或规则。在入侵检测中一个典型的应用就是，收集足够多的审计数据送交用户或程序，然后应用分类算法去学习分类器，标记或预测新的正常或异常的不可见审计数据。分类算法要解决的重点是规则学习问题。

　　(3)序列分析用于构建序列模式，以发现审计事件中经常存在的时间序列。这些经常发生的事件模式有助于将时间统计方法应用于入侵检测模型。例如，如果审计数据中包含基于网络的拒绝服务攻击DOS(DenialofServiceAttack)行为．由此得到的模式就要对在这一时间段内工作的每个主机和每项服务进行检测。

　　3基于数据挖掘的入侵检测系统模型

　　针对现有入侵检测系统挖掘速度慢和挖掘准确度不高的缺点，提出基于数据挖掘技术的入侵检测系统模型．该模型的结构如图1所示。

　　3．1模块功能简述

　　(1)嗅探器主要进行数据收集，它只是一个简单的抓取信息的接口。嗅探器所在位置决定入侵检测的局部处理程度。

　　(2)解码器解码分析捕获的数据包。并把分析结果存到一个指定的数据结构中。

　　(3)数据预处理负责将网络数据、连接数据转换为挖掘方法所需的数据格式，包括：进一步的过滤、噪声的消除、第三方检测工具检测到的已知攻击。利用误用检测方法对已知的入侵行为与规则库的入侵规则进行匹配，直接找到入侵行为，进行报警。

　　(4)异常分析器通过使用关联分析和序列分析找到新的攻击，利用异常检测方法将这些异常行为送往规则库。

　　(5)日志记录保存2种记录：未知网络正常行为产生的数据包信息和未知入侵行为产生的数据包信息。

　　(6)规则库保存入侵检测规则，为误用检测提供依据。

　　(7)报警器当偏离分析器报告有异常行为时，报警器通过人机界面向管理员发出通知，其形式可以是E-mail。控制台报警、日志条目、可视化的工具。

　　(8)特征提取器对日志中的数据记录进行关联分析，得出关联规则，添加到规则库中。

　　3．2异常分析器

　　异常分析器使用聚类分析模型产生的网络或主机正常模型检测数据包。它采用K-Means算法作为聚类分析算法。图2为异常分析的流程。

　　异常分析器的检测过程为：(1)网络或主机数据包标准化；(2)计算网络数据包与主类链表中聚类中心的相似度：(3)若该网络数据包与某一主类的相似度小于聚类半径R，则表明其是正常的网络数据包，将其丢弃；(4)若该网络数据包与所有主类的相似度大于聚类半径R，则表明其是异常的网络数据包。

　　3．3特征提取器

　　特征提取器用于分析未知的异常数据包，挖掘网络异常数据包中潜在的入侵行为模式，产生相应的关联规则集．添加到规则库中。该模块采用Apriori算法进行关联规则的挖掘，其工作流程如图3所示。

　　特征提取器的工作过程可分为数据预处理和产生关联规则。

(1)数据预处理特征提