基于啟發式規則的入侵檢測技術研究畢業論文(更新版)

　　

【正文】 統結構分析 ........................................ 21 集中式 IDS ..................................................... 21 等級式 IDS ..................................................... 22 分布式 IDS ..................................................... 24 規則描述語言 ................................................ 25 目 錄 實驗數據 .................................................... 29 本章小結 .................................................... 33 第三章 誤用入侵檢測中的模式識別算法研究 ................ 35 引言 ........................................................ 35 ACBM 算法 .................................................. 36 ACBM 算法改進 .............................................. 38 問題分析 ....................................................... 38 改進方案 ....................................................... 39 算法構造 ....................................................... 40 實驗及分析 .................................................. 52 本章小結 .................................................... 61 第四章 基于啟發式搜索的特征選擇 ........................ 62 搜索策略 .................................................... 62 評價準則 .................................................... 62 特征選擇算法 ................................................ 64 基于變量相似性特征選擇 ...................................... 66 線性相關系數準則和最大信息壓 縮準則 .............................. 67 基于變量相似性的特征選擇算法 ................................... 68 實驗及分析 .................................................. 69 本章小結 .................................................... 71 第五章 異常入侵檢測中的 SVM 分類器研究 .................. 72 引言 ........................................................ 72 傳統 SVM 分類器 .............................................. 73 INNSVM 分類器構造 .......................................... 75 問題分析 ....................................................... 75 改進方案 ....................................................... 77 分類器構造 ..................................................... 78 實驗及分析 .................................................. 83 本章小結 .................................................... 86 目 錄 第六章 基于啟發式規則的混合入侵檢測系統 ................. 87 引言 ........................................................ 87 傳統 IDS .................................................... 88 基于啟發式規則的混合入侵檢測模型 ............................ 89 設計思路 ....................................................... 89 模型構造 ....................................................... 89 實驗及分析 .................................................. 95 吞吐率 ......................................................... 96 匹配性能 ....................................................... 96 分類器性能 ..................................................... 98 本章小結 .................................................... 99 第七章 總結與展望 ...................................... 100 本論文對相關項目的貢獻 ..................................... 100 本論文的總結 ............................................... 100 關于未來研究的展望 ......................................... 101 參考文獻 .............................................. 102 致 謝 ................................................ 104 在讀期間發表的學術論文與取得的其他研究成果 錯誤 !未定義書簽。 論文首先介紹了入侵檢測技術的研究現狀和發展趨勢，對目前常用的入侵檢測技術和方法進行了歸類和分析，同時比較了各種入侵檢測方法的優勢和不足，指出了入侵檢測技術存在的問題。正是由于網絡的普及率越來越高 ， 一旦發生有目的、大規模的網絡入侵行為，其造成的影響就越惡劣。該檢測方法解決了異常檢測中大量訓練樣本集獲取困難的問題。而以計算機和網絡技術為代表的 IT 產業更 是位于科技發展的技術前沿，并且直接引導了互聯網的一次次技術革命， 人類社會的各個領域都在發生著前所未有的重大變革，人類社會正在走進信息化社會 。系統遭到破壞產生的直接后果就是用戶無法使用電腦進行正常工作。所以信息泄漏是網絡安全領域的重要問題，危害十分嚴重。在這種情況下，除了可能出現前面提到的三種情況外，還可能會出現一些意想不到的嚴重后果，造成災難性的危害。 ACM， Springer，Elsevier， IEEE 等國際知名組織和出版商每年都會刊登大量的相關文章，出版相應的論文集。國內從事信息安全入侵檢測研究的主要機第一章 緒 論 4 構有 ： 中科院，國防科技大學、哈爾濱工業大學、上海交通大學、北京郵電大學等。 (1)集中式 ： 這種結構的工 DS 可能有多個分布于不同主機上的審計程序，但只有一個中央入侵檢測服務器。所以，其可伸縮性、安全性都得到了顯著的提高，但維護成本卻高了很多，并且增加了所監控主機的工作負荷，如通信機制、審計開銷、蹤跡分析等。特征提取的目的就是對這些原始數據進行分析，提取攻擊特征，通過適當的編碼將其加入入侵模式庫。 4)入侵檢測方法研究 入侵檢測方法可以分為兩類 ： 異常入侵檢測 (Anomaly Detection)、 誤用入侵檢測 (Misuse Detection)和混合型入侵檢測 (Hybrid Detection)。 (3)混合型 (Hybrid)IDS： 由于基于誤用的 IDS 和基于異常的 IDS 各有其優越性和不足，因而在許多 IDS 中同時采用了這兩種不同的入侵檢測方法，這種 IDS稱為混合型 IDS。 混合型入侵檢測方法綜合了異常和誤用檢測的優點，是目前入侵檢測研究的重點，其設計目標是提高入侵檢測的可靠性、準確性，降低檢測的誤警率和漏警率。 在實際應用中響應機制最重要的要求是在系統被入侵后能及時進行響應，如果響應不及時，系統可能已經遭到嚴重的破壞，入侵檢測將失去意義，這就是實時響應的要求。目前入侵檢測標準化工作取得的成果有 ： DARPA提出的公共入侵檢測框架 (Common Intrusion Detection Framework， CIDF )和 IDWG 制定的數據 格式和交換規程 。本文分析了這些問題存在的原因，并對算法作了改進 ： 首先，將短模式與長模式分開進行處理，避免了短模式對長模式的影響， 并 通過直接計算哈希值的方法來對短模式串進行匹配，提高了短模式串的匹配速度 ； 最后，采用地址過濾的方法 避免了鏈表的遍歷，同時節省了原有算法中用于計算前綴哈希值的時耗；其次，為 進一步提高了算法的匹配速度，設計 MRRT 規約樹能支持多第一章 緒 論 9 線程歸約和在線動態調整，特別適用于大規模多模式匹配 。該分類器在異常入侵檢測中表現出較好的性能。 第三章， 誤用入侵檢測中的模式識別算法研究 。 第 七 章，總結與展望。這是首次對入侵的檢測提出原創性的解決方法，也是日后異常檢測方法的原型。從 上面的描述可知，在入侵檢測技術發展的初期，所檢測的數據都是主機系統的待審計數據，然而隨著網絡技術的 發展和網絡應用的普及，第二 章 入侵檢測技術研究綜述 12 針對網絡的攻擊事件不斷發生，對入侵檢測技術的研究也隨之進入了第二階段，即網絡入侵檢測技術。該系統利用位于不同地點的數據采集單元收集待檢測數據，進行統一分析后，判斷被保護系統是否受到攻擊。 誤用檢測 (Misuse Detection)的思想最早由 Dorothy Denning 博士提出，通過建立專家系統和既定規則，查找活動中的已知攻擊，這就是誤用檢測方法的原型。根據異常檢測的實現思路，可見這種技術有能力發現未知攻擊，不需要實時維護規則，擴展性和自適應性好。我們期望誤警率越低越好，如果誤警率很高，那么真正有危險的告警可能會被淹沒在無用的誤警當中，從而導致真正的攻擊得以成功實施。 第二 章 入侵檢測技術研究綜述 15 基于規則匹配的檢測技術 基于規則匹配的檢測技術最為典型的是專家系統。這種方法的依據是外部事件序列，根據貝葉斯定理進行推理檢測入侵。而且，除了通過植入模型的原始的謂詞，沒有通用的方法來排除攻擊模式部分匹配。因為某 些入侵場景的證據累積，故其它的證據就 下降，活動模型組成被更新。首先監視這個對象的行為特征，以便產生這個對象的行為概貌，并通過其后的監視對比學習到的行為概貌檢測出這個對象的異常行為，產生告警并做出相應的反應。如果 iT 比 iS 大，則表示 i 指標的取值偏離較大，系統行 為可 能異 常。設第 i 個特征為 iA 值表示正常， 1 值表示異常。神經網絡的學習和識別取決于各神經元連接權系數的動態演化過程。從初始種群出發，通過隨機選擇、交叉和變異操作，產生新的更適應環境的個體，從而使群體進化到搜索空間中越來越好的區域，最后收斂到群最適應環境的個體卜，求得問題的最優解。 第二 章 入侵檢測技術研究綜述 20 基于數據挖掘的檢測技術 基于數據挖掘的檢測技術利用數據挖掘的關聯分析、序列模式分析、分類分析等算法提取入侵特征，從而達到識別入侵的目的。因此將人工免疫的原理引入入侵檢測系統的設計是一個值得關注的發展方間。 等提出了基于無監督機器學習法的檢測技術，采用一類支持向量機 (OneClass SVM)利用未標記訓練數據建立入侵檢測模型。這樣的系 統實質上不能稱之為真正的分布式入侵檢測系統。管理器還提供了 DIDS 與安全管理人員的用戶接口。代理是數據收集部件，收發器和監視器都兼具控制和數據處理功能。 層次化協同檢測結構存在以下幾個缺點 ：