基于聚类的网络入侵检测系统模型
基于异常检测算法的网络入侵检测研究
基于异常检测算法的网络入侵检测研究一、引言现代社会处处皆是网络，人们的日常生活、工作、学习等均离不开网络。
然而网络的存在也给人类带来了新的安全威胁，网络入侵就是其中之一。
网络入侵可以导致重要数据泄露，网络系统崩溃等问题，给个人和企业带来巨大的经济和社会影响。
因此，研究网络入侵检测的方法是当今信息安全领域的一个重要课题。
在网络入侵检测中，基于异常检测算法的方法得到了越来越广泛的应用。
本文将介绍网络入侵检测的背景、原理和应用，并对现有的一些方法进行总结和比较，同时对未来的发展方向提出一些看法。
二、网络入侵检测的背景网络入侵检测始于20世纪90年代初。
从那时起，网络的快速发展和广泛应用使得网络安全问题日益突出。
早期的网络入侵检测技术主要基于特征检测（signature-based）的方法。
该方法通过检测传入和传出网络流量中的已知网络攻击特征来发现并阻止攻击。
传统的特征检测方法在一定程度上可以检测已知攻击，但无法对未知攻击进行检测，因此易受到零日漏洞攻击的影响。
为了解决这些问题，基于异常检测的方法应运而生。
相比于传统的特征检测方法，基于异常检测的方法能够检测未知的攻击类型，增强了网络的安全性。
三、基于异常检测算法原理基于异常检测的入侵检测方法是一种统计学方法，主要思路是将系统中的恶意行为视为异常行为。
该方法通过建立系统模型来识别异常行为，该模型可以建立在单个主机或整个网络上。
通常，异常检测方法基于以下几个方面的特征来检测入侵：1. 网络流量网络流量是指在网络上的数据传输过程中的数据量，这一维度所关注的是入侵针对的是网络上的传输数据。
例如，窃听、数据篡改等等网络入侵行为都会影响到网络流量，因此检测网络流量异常就可以发现入侵。
2. 网络拓扑网络拓扑是指网络的物理或逻辑结构，包括网络设备之间的连接和交互方式。
该检测维度主要关注内部入侵，例如多不在同一子网中的主机之间进行通信，这种交流是少有的，也不符合网络拓扑的正常流量规律。
基于熵的聚类入侵检测算法研究
其 中ｐ （ ） 表示属于类 的数据项在集合 中的
对 于含 有 多 个 属性 的记 录 ： ｛ ， Ｘ ２ ， ……， 置。 ｝的信息熵 计算 如下 ：
记 录 中记 录信 息熵 和相 对熵对 聚类 重新 聚类 来分析 入侵 行 为的异 常性 ， 将 信 息 论 中熵 与 聚 类 结 合 建立
如 果记 录 的属性 之 间 互 相 独立 ， 则 每 个 属性 概 率 的乘 积正好 等 于属 性 值 的 联合 概 率 ， 因此 总 的信 息熵就 等 于每个 属性 的信息熵 的和 ：
层（ Ｘ）＝Ｅ（ ）＋Ｅ（ ）＋… ＋Ｅ（ Ｘ ） （ ４ ）
取值 的不确定性． 就数据集合来说 ， 信息熵可以作为
第３ ４卷第 ６期
２ ０ １ ３年 １ ２月
通 化 师 范 学 院 学 报（ 自然科 学 ）
Ｊ ＯＵ ＲＮＡＬ ＯＦ Ｔ ＯＮＧ ＨＵ Ａ ＮＯ ＲＭＡＬ ＵＮＩ ＶＥ ＲＳ Ｉ Ｔ Ｙ
Ｖｏ １ ． ３ ４ Ｎ ｏ ６ Ｄｅ Ｃ ．２ ０１ ３
基 于熵 的聚 类入 侵 检 测 算 法 研 究
关键词 ： 入侵 检 测 系统 ； 聚类 ； 熵； 信 息 论
中图分类号： Ｔ Ｐ ３ ０ ９ 文献标 志码： Ａ 文章 编号 ： １ ０ ０ ８— ７ ９ ７ ４ （ ２ ０ １ ３ ） ０ ６— ０ ０ ３ ６— ０ ３
随着 计算 机 网络 技 术 的飞 速 发 展 ， 信 息 产业 得 到 了 巨大 发展 ， 同时也 给网络 信息安 全带 来 了威 胁 ． 保 障 网络 信息 环境 安全 已经成 为全 社会 各行 各业高 度 重视 的 问题 ． 网络入 侵 检 测 技术 是 对 计 算 机 和 网
・
３ ６・
[信管网]信息安全技术第六章-入侵检测技术
![[信管网]信息安全技术第六章-入侵检测技术](https://img.taocdn.com/s3/m/6186f17c1ed9ad51f01df2ce.png)
• 误用检测模型
如果入侵特征与正常的用户行能匹配，则系统 会发生误报；如果没有特征能与某种新的攻击 行为匹配，则系统会发生漏报
特点：采用特征匹配，滥用模式能明显降低错 报率，但漏报率随之增加。攻击特征的细微变 化，会使得滥用检测无能为力
• 入侵检测的分类（2）
按照数据来源：
基于主机：系统获取数据的依据是系统
Automated Response
首先，可以通过重新配置路由器和防火墙，拒绝那些来 自同一地址的信息流;其次，通过在网络上发送reset包 切断连接 但是这两种方式都有问题，攻击者可以反过来利用重新 配置的设备，其方法是：通过伪装成一个友方的地址来 发动攻击，然后IDS就会配置路由器和防火墙来拒绝这 些地址，这样实际上就是对“自己人”拒绝服务了 发送reset包的方法要求有一个活动的网络接口，这样它 将置于攻击之下，一个补救的办法是：使活动网络接口 位于防火墙内，或者使用专门的发包程序，从而避开标 准IP栈需求
信息分析
模式匹配 统计分析 完整性分析，往往用于事后分析
模式匹配
模式匹配就是将收集到的信息与已知的网络入侵 和系统误用模式数据库进行比较，从而发现违背 安全策略的行为
一般来讲，一种进攻模式可以用一个过程（如执 行一条指令）或一个输出（如获得权限）来表示。 该过程可以很简单（如通过字符串匹配以寻找一 个简单的条目或指令），也可以很复杂（如利用 正规的数学表达式来表示安全状态的变化）
VPN
防病毒
保护公网上的内部通信
针对文件与邮件，产品成熟
可视为防火墙上的一个漏洞
功能单一
入侵检测的起源（1）
1980年4月，James P. Anderson :《Computer
基于数据挖掘技术的聚类分析算法在异常入侵检测中的应用
基于数据挖掘技术的聚类分析算法在异常入侵检测中的应用摘要：入侵检测已经成为近年来网络安全研究的一个热点，实践证明，基于数据挖掘技术的聚类分析算法是能够有效地帮助建立网络正常行为模型，并且显著提高了入侵检测的速度的算法。
关键词：入侵检测；数据挖掘；聚类分析1 入侵检测和异常入侵检测技术入侵检测，（Intrusion Detection，简称ID)，是对入侵行为的发现。
入侵检测是基于两个基本假设：用户和程序的行为是可见的；正常行为与入侵行为是可区分的。
入侵检测技术是为保证计算机系统的安全而设计与配置的一种能够及时发现并报告系统中未授权或异常现象的技术，是一种动态的安全防护手段，它能主动寻找入侵信号，给网络系统提供对外部攻击、内部攻击和误操作的安全保护。
这种技术可以大大提高网络系统的安全。
入侵检测主要包括三个部分：数据采集、数据分析和响应。
异常入侵检测技术又称为基于行为的入侵检测技术。
它识别主机或网络中异常的或不寻常行为。
它假设攻击与正常的活动有很大的差别。
异常检测首先收集一段时间操作活动的历史数据，再建立代表主机、用户或网络连接的正常行为描述，然后收集事件数据并使用一些不同的方法来决定所检测到的事件是否偏离了正常行为模式，从而判断是否发生了入侵行为。
异常检测是通过已知来推倒未知的技术，我们可以将数据采掘技术应用到入侵检测研究领域中，从审计数据或数据流中提取感兴趣的知识，这些知识是隐含的、事先未知的潜在有用信息，提取的知识表示为概念、规则、规律、模式等形式，并用这些知识去检测异常入侵和已知的入侵。
目前最常用和有效的技术是基于数字挖掘的聚类分析方法。
2 数据挖掘和聚类分析所谓数据挖掘，是从海量的数据中，抽取出潜在的、有价值的知识(模式或规则)的过程。
也就是根据预定义的商业目标，对大量的企业数据进行探索和分析，揭示其中隐含的商业规律，并进一步将其模式化的技术过程。
数据挖掘是一门交叉学科，它集成了许多学科中成熟的工具和技术，包括数据库技术、统计学、机器学习、模式识别、人工智能、神经网络等等。
网络入侵检测的建模与仿真研究
ｐ ｅ ｉ ，ａ ｄ ｉ ｉ ｉ ｃ ｌ ｆ ｒ ｔｅ ｔａ ｉ ｏ ａ ｅｅ ｔ ｎ ｍｅｈ ｄ ｏ ｉ ｅ ｔ ｙ ｎ ｔ ｒ ｎ ｒ ｓｏ ｈ ｒ ｃｅ ｓｉｓ ｌｘｔ ｙ ｎ ｔ ｓ ｄ ｆ ｕ ｔ ｏ ｈ ｒ ｄｔ ｎ ｄ ｔ ｃｉ ｔ ｏ ｓ ｔ ｄ ｎ ｉ ｅｗｏｋ ｉｔｕ ｉｎ ｃ ａａ ｔｒ ｔ ，ｗ ｉ ｈ ｉ ｆ ｉ ｌ ｏ ｆ ｉ ｃ ｈｃ ｌ ａ ｓ ｔ ｈ ｗ ａ ｃ ｒ ｃ ｆ ｅ ｗ ｒ ｎｒ ｓ ｎ ｄ ｔｃ ｉｎ，ａ ｄ ｈ ｇ ａ ｅｏ ｌ ．Ｉ ｒ ｅ ｍｐ ｏ ｅ ｔ ｅｎ ｔ ｏ ｋ ｓ ｃ — ｅ ｄ ｏ ｔ ｅ ｌ ｃ ｕ ａ ｙ ｏ ｔ ｏ ｋ ｉ ｔ ｉ ｅ ｅ ｔ ｏ ｎ ｕ ｏ ｏ ｎ ｉｈ ｒ ｔ ｆ ａｓ ｆ ｅ ｎ ｏｄ ｒ ｏ ｉ ｒｖ ｅｗ ｒ ｅ ｕ ｔ ｈ ｒ ｙ ｅｗｏ ｋ ｉ ｔ ｓｏ ｅｅ ｔ ｎ ｍｏ ｅ ｓ ｐ ｏ ｏ ｅ ａ ｅ ｎ ｐ ｉ ｃｐ ｌｃ ｍｐ ｎ ｎ ｎ ｙ ｉ ａ ｄ ｉ ｒｖ ｄ ｎ ｕ ａ ｉ ，ａ ｎ ｔ ｒ ｎ ｒ ｉ ｎ ｄ ｔ ｃｉ ｄ ｌｗａ ｒ ｐ ｓ ｄ ｂ ｓ ｄ ｏ ｒ ｉ ａ ｏ ｏ ｅ ｔａ ａ ｓ ｎ ｍｐ ｏ ｅ ｅ ｒ ｌ ｔ ｕ ｏ ｎ ｌ ｓ ｎ ｔｏｋ ｅ ｒ ．Ｔ ｅ ｍｏ ｅ ｓ ｄ ｔ ｅ ｐ ｎ ｉ ａ ｏ ｏ ｅ ｔ ｎ ｙ ｉ ｏ ｐ ｅ ｒ ｃ ｓ ｈ ｅｗ ｒ ａ ａ ｅ ｕ ｅ ｔｅ ｄ ｔ ｉ ｎ ｗ ｈ ｄ ｌｕ ｅ ｈ ｒ ｃｐ ｌｃ ｍｐ ｎ ｎ ｓａ ａ ｓｓｔ ｒ ｐ ｏ ｅ ｓｔ ｅ ｎ ｔ ｏ ｋ ｄ ｔ ，ｒ ｄ ｃ ｈ ａａ ｄ ｍｅ － ｉ ｌ ｓｏ ｓ ｌ ｎ ｔ ｈ ｒｅｅ ａ ｔｉ ｆｒ ａｉｎ，ａ ｄ ｓｍｐ ｉ ｈ ｅｗｏ ｋ ｓｒ ｃｕ ｅ ｈ ｎ ｔ ｅ ｐ ｒ ｍｅ ｅ ｆ Ｒ ｅ ｒ ｉ ｎ ，ｅ ｉ ａ ｅ ｔ ｅ ｉ ｌｖ ｎ ｎｏ ｍｉ ｒ ｍ ｔ ｏ ｎ ｉ ｌ ｙ ｔｅ ｎ ｔ ｒ ｔ ｔ ｒ ．Ｔ ｅ ｈ ａ ａ ｔｒ ｏ ＢＦ ｎ ｕ ａ ｆ ｕ ｓ ｌ
基于聚类的模糊支持向量机入侵检测算法
收稿日期:2008-08-02 修回日期:2008-10-10基金项目:湖南省教育厅一般项目“基于聚类的模糊支持向量机分类方法研究”(编号:06C585)。
作者简介:邹汉斌,男,1974年生,讲师,硕士,研究方向为模式识别与智能控制;周学清,男,1971年生,讲师,高级程序员,研究方向为软件设计、入侵检测。
基于聚类的模糊支持向量机入侵检测算法3An Intrusion Detection Algorithm B ased on Clustering Fuzzy Support V ector Machine邹汉斌 周学清(湖南文理学院计算机科学与技术学院 常德 415000)摘 要 为了提高模糊支持向量机在入侵检测数据集上的训练效率,提出了一种基于聚类的模糊支持向量机入侵检测算法。
该方法可以对训练数据进行剪枝,有效地减少远离分类面的聚类边缘点的数量,同时在分类面附近保持较多的样本点,以靠近判别边界的聚类中心集合作为有效的训练样本集合对模糊支持向量机进行训练,减少了样本的训练时间,提高了算法的效率。
实验结果表明该方法提高了模糊支持向量机的训练效率,而且对入侵检测是非常有效的。
关键词 聚类 模糊支持向量机 入侵检测 异常检测中图分类号 TP18 TP309 入侵检测系统IDS 是一种主动的网络安全防护系统,它是继数据加密、防火墙等传统安全技术之后的新一代安全保障技术。
IDS 提供了对内部攻击、外部攻击和误操作的实时保护,在主机或网络系统受到危害之前拦截并响应入侵。
目前入侵检测的方法有很多,主要分为异常检测和滥用检测两大类,而异常入侵检测技术是目前研究的热点。
然而随着入侵手段的多样化,传统的入侵检测技术已不能满足当前网络安全的要求,将智能技术融入IDS 已成为当今研究的一个热点。
近年来入侵检测领域所采用的主要技术有贝叶斯推理、人工神经网络、专家系统的、计算机免疫学以及数据挖掘技术等[1,2]。
但是现在流行的入侵检测系统都存在误报、漏报及实时性差等缺点,并且训练时间较长。
基于数据挖掘的入侵检测多分类模型研究
分类器实现 ， 因此， 分类器的设计与实现是入侵检 测系统重要的技术之一。 已经 有学者采 用 数据 挖 掘 的方法 研 究人 侵 检 测 的分 类 技 术 。文 献 ［ ］ 过 聚类 方 法 构 造 层 次 ２通
往前调整网络权值 和阈值 ｆ ， 再根据上 述方法使用新 的网络权值 和阈值 计算新 的误差
Ｅ 。通过多次运算 ， Ｅ不断减小 ， 使 达到预设精度 （ 或者一定的迭代次数） 时网络计算结束。
１ ２ 有监督 的 Ｋｏ ｏ ｅ ． ｈ ｎ ｎ神经 网络算 法
Ｋ ｈｎｎ网络也是人工神经网络中的一种， ｏｏｅ 是 无监 督的 自组织竞 争前馈 神经 网络 ， 网络 结构包 其 含输入层和竞争层。通过在竞争层后增加一个输 出层 ， 可以构 造有 监督 的 Ｋ ｈｎｎ神 经 网络 ， ｏｏｅ Ｊ与 Ｂ 神经网络类似， Ｐ 有监督的 Ｋ ｈｎｎ神经网络的 ｏｏｅ 个输 出结点 代 表一 种 分类 结 果 。输 人数 据通 过
题 。入 侵 检测 系 统 是 一 种 重要 的 网 络安 全 技 术 ， 它如 同智 能大 厦 里 的监 控 系 统 ， 进 出整 个 网 络 对 系统 或 主机 系统 的数 据 流 进 行 分 析 判 断 ， 识别 各 种数据 流 的性 质 。然 后 根据 识 别 结 果 ， 络 系 统 网
基 于数 据 挖 掘 的入 侵 检 测 多 分类 模 型研 究
沈 利 香 曹 国２
（． １ 常州工学 院计算 机￣， ｒ ｇ－程学 院， 江苏 常州 ２ ３０ ； ， １０ ２ ２ 常州工学 院经 济与管理学院 ， 江苏 常州 ２ ３０ ） １ ０２
摘要 ： 入侵 检 测 系统捕 获 的大量 网络数 据 ， 需要 采 取 有 效 的 算 法进 行 分 类 ， 以判 别 数 据 流是 用
基于聚类算法的入侵检测模型设计
吴 卉 男
：
基 于 聚 类 算 法 的 入 侵 检 测 模 型 设 计
（ 州 师 范大 学 数 学 与 计算 机科 学 学 院 ， 州 贵 阳 ５ ０ ０ ） 贵 贵 ５ ０ １
摘
确 性
要 ：本 文 提 出 了 一 种 基 于 数 据 挖 掘 方 法 的 入 侵 检 测
模 型 ， 过数 据 挖 掘 的 聚 类 算 法 ． 高入 侵 检 测 的 时 效性 与 准 通 提
一
够拦 截 我 们 所要 的信 息 ， 是 捕 获数 据 包 的 物理 基 础 …。 这 网络 上 数 据 的截 获 主要 依 赖 于 所 使 用 的操 作 系 统 ，不 同 的操 作 系 统 一 般有 不 同 的 实 现途 径 。在 Ｕ Ｉ Ｎ Ｘ或Ｌｎ ｘ ｉｕ 系统 中 ， 般 采 用 由 美 国 洛 伦兹 伯 克 利 国 家 实 验 室所 编 写 的专 用 于 数 据包 捕 获 功 能 的Ａ Ｉ Ｐ 函数 库 Ｌｂ ｃ ｐ 实 现 。而 在Ｗｉｄ ｗ 系统 ｉ ａ来 ｐ ｎｏｓ 中 ． 使用 Ｗｉ ｃ ｐ Ｗｉ ｃ ｐ 由 伯克 利 分 组捕 获 库 派 生 而来 则 ｎ ａ ， ｎ ａ是 Ｐ Ｐ 的分 组 捕 获 库 ， 能够 在 Ｗｉ ｏ ｓ 作 平 台 上来 实 现 对 底 层包 它 ｎ ｗ操 ｄ 的截 取 过 滤 。 捕获 数 据 包 的过 程 如 图２ 。
一
捕 获网卡设备 的句柄
打 开网卡设 备
设 置网卡为混杂模 式
、
定义初 始化数据 结构
Ｎ
循环获 取网络数据包 将 网 卡 设 为 从缓冲 区读取数据包 正常 模式
格式化处 理原始数据包
释放闷卡句
柄 和 接 受缓 冲区
基于聚类算法的异常入侵检测模型的研究与实现
Ａｂ ｔ ａ ｔ ｓｒ ｃ Ｔ ｉ ｐ ｐ ｒａ ａｙ ｅ ｈ ｕ ｒ ｎ ｅｗｏ ｋ ｉｔｕ ｉｎ ｄ ｔ ｃｉ ｎ ｔｃ ｎ ｑ ｅ ， ｒ ｐ ｓ ｓ ａ ｍｅｈ ｄ ｔ ａ ｐ ｌ ｓ ｃｕ ｔｒ ａｇ ｒ ｈ ｔ － ｈ ｓ ａ ｅ ｎ ｌｓ ｓ ｔ ｅ ｃ ｒ ｔｎ ｔ ｒ ｎ ｒ ｓｏ ｅ ｅ ｔ ｅ ｈ ｉｕ ｓ ｐ ｏ ｏ ｅ ｔ ｏ ｈ ｔａ ｐｉ ｌ ｓ ｌｏ ｔ ｍ ｏ ａ ｅ ｏ ｅ ｅ ｉ
Ｋ Ｄ Ｃ ｐ９ ９的测试数据 ， Ｄ ｕ １９ 结果表 明该方法是有 效的。
关键 词
聚类算法 网络入侵检测 Ｋ ｍ ａ ｓ － ｅｎ 算法
ＲＥＳ ＥＡＲＣＨ ＡＮＤ Ｍ ＰＬＥＭ ＥＮＴＡＴＩ Ｉ ｏＮ ｏＦ ＡＮ ＡＮｏＭ ＡＬＹ ＮＴＲＵＳ ｏＮ Ｉ Ｉ
ＤＥＴＥＣＴＩ ｏＮ ＹＳ Ｓ ＴＥＭ ＯＤＥ ＢＡＳ Ｍ Ｌ ＥＤ ｏＮ ＣＬＵＳ ＴＥｍ ＮＧ ＡＮＡＬＹＳ Ｓ Ｉ
ｎ ｍａ ｙ ｉ ｔ ｓｏ ｅｅ ｔ ｎ，ａ ｄ ｐ ｅ ｅ ｔ ｎ ｉ ｒ ｖ ｄ Ｋ ｍｅ ｎ ｌ ｏ ｉ ｍ． ｉ ｇ ｔ ｅ ｄ ｔ ｅｓ ｏ ｏ ｌ ｎ ｒ ｉｎ ｄ ｔｃｉ ｕ ｏ ｎ ｒ ｓ ｎ ｓａ ｍｐ ｏ ｅ — ａ ｓ ａｇ ｒ ｈ Ｕｓｎ ｈ ａ ａ ｓ ｔ ｆＫＤＤ Ｃ ｐ ９ ９，ｈ ｘ ｅ ｍｅ ｔｒｓ ｌ ｓ ｏ ｔ ｕ １ ９ ｔ ｅ ｅ ｐ ｒ ｎ ｅ ｕ ｔ ｈ ｗｓ ｉ ｔ ｅ ｅｆ ｉｎ ｙｏ ｈ ｔ ｏ ． ｈ ｆ ｃ ｅ ｃ ｆｔ ｅ ｍｅｈ ｄ ｉ Ｋｅ ｗｏ ｄ ｙ ｒｓ Ｃｌｓｅ ｉ ｇ ａ ａｙ ｉ Ｎｅｗ ｒ ｎ ｒ ｓｏ ｅｅ ｔ ｎ Ｋ－ ａ ｓ ｕ ｔｒ ｎ ｌ ｓ ｎ ｓ ｔ ｏ ｋ ｉｔ ｉｎ ｄ ｔｃ ｉ ｕ ｏ ｍｅ ｎ
入侵检测系统中两种异常检测方法分析【我的论文】(精)
网络入侵检测系统的研究摘要：随着互联网络的广泛应用，网络信息量迅速增长，网络安全问题日趋突出。
入侵检测作为网络安全的重要组成部分，已成为目前研究的热点，本文介绍了入侵检测系统的概念、功能、模式及分类，指出了当前入侵检测系统存在的问题并提出了改进措施，特别是针对异常入侵检测方法的研究，着重分析了基于神经网络的和层次聚类的异常检测方法，并从理论和试验层次队两种检测技术进行分析比较，客观分析了两种算法的优缺点。
同时预测了入侵检测系统的发展趋势。
关键词：入侵检测；入侵检测系统；BP神经网络；层次聚类；网络安全。
在基于网络的计算机应用给人们生活带来方便的同时，网上黑客的攻击活动正以每年10倍的速度增长，因此，保证计算机系统、网络以及整个信息基础设施的安全已经成为刻不容缓的重要课题。
防火墙作为一种边界安全的手段，在网络安全保护中起着重要作用，其主要功能石控制对网络的非法访问，通过监视、限制、更改通过网络的数据流，一方面尽可能屏蔽内部网的拓扑结构，另一方面对内屏蔽外部危险站点，以防范外对内的非法访问。
然而，由于性能的限制，防火墙通常不能提供实时的入侵检测能力，为了弥补防火墙存在缺陷，引入了入侵检测IDS( Intrusion Detection System )技术。
入侵检测是防火墙之后的第二道安全闸门，是对防火墙的合理补充，在不影响网络性能的情况下，通过对网络的检测，帮助系统对付网络攻击，扩展系统管理员的安全管理能力（包括安全审计、监视、进攻识别和响应），提供对内部攻击、外部攻击和误操作的实时保护。
一、入侵检测系统的概念入侵检测定义为识别为被授权使用的计算机系统和有合法权利使用系统但却滥用特权的过程。
即通过对计算机网络或系统中的若干关键点收集信息并对其进行分析，从而发现是否有违反安全策略的行为和被入侵的迹象。
进行入侵检测的软件与硬件的组合便是入侵检测系统（IDS）。
一个入侵检测产品通常由两部分组成，即传感器与控制台。
数据挖掘技术在网络入侵检测中的应用
维普资讯
２０ ０６年 ９ 月 第 ９ 期
数据 挖 掘 技术在 网络入 侵检 测 中的应 用
王 福生
（ 鲁东 大 学 ，烟 台 ２ ４２ ） ６ ０５
［ 摘 要］ 随着网络技术和网络规模的不断发展 ，网络入侵 的风险和机会越 来越 多，网络 安全 已经成 为无法回
稳定性是现在 网络管理者最关心也是最头疼 的事情 。
１２ 基 于 判 定 树 的 方 法 ．
工 所谓判定树是一个类 似于 流程 图的结构 ，其 中每 个 内 作
本文从 网络安全 的角度 出发，介绍 几种基于数 据挖 掘 的入侵检测方法 。结 合异常检 测和误用检 测技术 ，建立 了
ｄ ｔ ｔｏ ｔ ｈ ｉ ｅ． ｅｅ ｉｎ ｅ ｎ ｑ ｃ ｃ ｕ
【 ｅ ｏｄ ） ｎｔｏ ｃｒｙ ｎ ｕｉ ｅ ｃｏ ；ｄｔ ｍｎ Ｋ ｙｗ ｒｓ ｅ ｒ ｓ ｕｔ；ｉｒ ｏ ｄｔ ｔｎ ａａ ｉｎ ｗｋ ｅ ｉ ｔｓ ｎ ｅｉ ｉ ｇ （ 中图分类号］Ｔ ３３ （ Ｐ９ 文献标识码］ｃ ［ 文章编号 ］１０ — ８１（Ｏ ６ ９— １９ ３ ０８ ０２ ２ Ｏ ）０ ０ ０ —０ 随着信 息时代 的到来 ，以 Ｉｔ ｔ ｎ ｅ 为主体 的计算机 网络 ｍｅ
ａ ｄ ｍ ｒ ｏ ｔ ｔｄ ｔ ，ｉｔ ｓｏ ｅｅ ｔ ｎ ｔ ｈ ｉｕ ｅ ｏ ｅ ｉ ｄ ｏ ｅｙ ｋ ｙｔ ｈ ｏｏ ｙ ｎ ｉ ｐ ｐ ｒ ｈ ａ ｉ ｎ ｏ ｉ ｒ ｎ ａ ａ ｎｒ ｉｎｄ ｔ ｉ ｎｑ ｅ ｂ ｃ ｍ ｓａｋ ｎ ｆ ｒ ｅ ｅ ｎ ｌｇ ．Ｉ ｔ ｓ ａ ｅ ，ｔ ｅｂ ｓ ｅ ｍｐ ａ ｕ ｃ ｏ ｅ ｃ ｖ ｃ ｈ ｃ
基于人工智能的入侵检测技术研究综述
基于人工智能的入侵检测技术研究综述人工智能（Artificial Intelligence, AI）的迅猛发展已经深刻影响了各个领域，其中之一是网络安全。
随着网络攻击日益复杂和智能化，传统的入侵检测系统面临着巨大的挑战。
为了提高网络的安全性和保护用户的隐私，研究人员们开始探索基于人工智能的入侵检测技术。
基于人工智能的入侵检测技术由机器学习、深度学习和数据挖掘等技术构成。
这些技术使用了大量的数据集来构建模型，并通过学习和分析这些数据来识别潜在的网络攻击行为。
机器学习是基于人工智能的入侵检测技术中最常用的方法之一。
其核心思想是通过机器从历史数据中提取特征并构建分类器来判断新的数据是否属于正常行为还是入侵行为。
机器学习方法可以分为有监督学习和无监督学习两种。
有监督学习的方法在训练阶段需要有标记的数据集，其中包含了正常行为和入侵行为的样本。
常见的有监督学习算法有决策树、支持向量机和神经网络等。
这些算法可以利用已有的标注数据来训练模型，从而对新的数据进行分类。
与有监督学习相比，无监督学习的方法不需要有标记的数据集。
这种方法通过聚类、异常检测和关联规则挖掘等技术来从数据中发现潜在的入侵行为。
无监督学习方法往往更适用于发现未知的入侵行为，但也可能产生误报率较高的结果。
深度学习是近年来人工智能领域的热点技术，也被广泛应用于入侵检测领域。
深度学习算法可以自动学习和提取数据的特征，并构建多层神经网络来进行分类和预测。
与传统的机器学习方法相比，深度学习方法能够处理更大规模的数据集，并且在一些复杂的网络攻击行为中表现出更好的性能。
除了机器学习和深度学习，数据挖掘也被广泛应用于基于人工智能的入侵检测技术中。
数据挖掘可以从大规模的数据集中提取有用的信息，并利用这些信息来识别入侵行为。
数据挖掘方法可以包括关联规则挖掘、序列模式挖掘和频繁模式挖掘等。
尽管基于人工智能的入侵检测技术在提高网络安全性方面具有巨大潜力，但仍存在一些挑战和问题。
基于聚类分析的网络入侵检测模型
关健词 ：入侵检 测 ；聚类分析 ； 糊 Ｃ均值 ；欧 氏距离 ；简单匹配系数 模
Ｎｅ ｗｏ ｋ Ｉ ｔ ｕ ｉ ｎ Ｄｅ ｅ ｔｏ ｏ ｅ ｓ ｄ ０ ｕ ｔ ｒ ｎ ａ ｙ ｉ ｔ ｒ ｎ ｒ ｓｏ ｔ ｃ ｉ ｎ Ｍ ｄ ｌ Ｂａ ｅ ｎ Ｃｌ ｓｅ ｉ ｇＡｎ ｌ ｓｓ
［ ｙｗｏ ｄ ｌｉｔ ｓ ｎｄｔｃｉｎ ｃ ｓ ｒ ｇａ ａ ｓｓＦ ｚｙＣ— ａ ｓ Ｃ ； ｕｌ ｅｎｄｓａｃ； ｉ ｌ ｔｈｎ ｅ ｃ ｎ（ＭＣ） Ｋｅ ｒ ｓ ｎｒ ｉ ｅｅｔ ；ｌ ｔ ｉ ｎ ｌ ｉ； ｕ ｚ ｍｅ ｎ（ Ｍ）Ｅ ｃｉ ａ ｉ ｎ ｅ ＳｍｐｅＭａｃｉｇＣｏｆ ｉ ｔ ｕ ｏ ｏ ｕｅｎ ｙ Ｆ ｄ ｔ ｉ ｅ Ｓ
聚类算法增强 了这种无监督的入侵检测 方法 ， 实验结果表 明， 好 ，其检测率可达到 ６ ％以上 ，误警率保持在 １ ０ ％以下。 分析 上述无监督入侵检测模 型 ，可 以发现 以下不足 ：
Ｌ ＩＷ ｅ ｈ ｎ－ ｕａ
（ ｌ ｇ ｆ ｏ ｕ ｅ ｃｅ ｃ ， ａ ｇｚ ｉｅｓｔ Ｊ ｇ ｈ ｕ４ ４ ２ ， ｈｎ ） Ｃｏｌ ｅ ｍｐ ｔｒ ｉ ｅ Ｙ ｎ ｔ Ｕｎｖ ｒｉ ， ｉ ｚ ｏ ３ ０ ３ Ｃ ｉａ ｅ ｏＣ Ｓ ｎ ｅ ｙ ｎ
［ ｂ ｔａ ｔ ｈｓｐｐ ｒｉｔ ｄ ｃｓＦ ｚｙＣ ｍｅｎ（ＣＭ）ｃ ｓ ｒ ｇｍｅｈ ｄ ｒｓａｃ ｅ ｈ ｔｏ ｓｏ ｔ ｓ ｎｄ ｔ ｔ ｎｂ ｓｄｏ ｌｓ ｒ ｇ Ａ ｓｒｃ］Ｔ ｉ ａｅ ｒ ｕ ｅ ｕｚ － ａｓＦ ｎｏ ｌ ｔ ｉ ｔｏ ， ｅｅｒｈ ｓｔｅｍｅ ｄ ｆｉ ｒ ｉ ｅｅ ｉ ａｅ ｎｃｕｔ ｉ ｕ ｅｎ ｈ ｎｕ ｏ ｃｏ ｅｎ
ｔ ｅｍ ｏ ｅ ａ ｔ ｃ ｎ ｒ ｓｏ ｒ ｍ ｅ ｗｏ ｋ ｃ ｎ ｅ ｔｏ ａａ ａ ｏ ｒｓ ｔｍ ａ ｓ ｌ ｒ ｒ ｔ ｎ ｉ ｈ ｒｄ ｔｃ ｉ ｎ ｒ ｔ ． ｈ ｄ ｌ ｎｄｅｅ ｔｉ ｔｕ ｉ ｎ ｆ ｏ ｔ ｎ ｔ ｒ ｏ ｎ ｃｉ ｎ ｄ ｔ ｔ ｌ ｗｅ ｙｓｅ ｆ ｌｅ ａａ ｍ ｅ ａ ｄ ａ ｈ ｇ ｅ ｅ ｅ ｔ ａ ｅ ｃ ｈｅ ａ ａ ｏ
聚类方法在网络入侵检测中的应用
两 个簇 之 间的距 离 为这两 个簇 的 中心点 之 间的距
离 Ｄ（ Ｆｌ ，Ｆ ２ ） 一Ｄ（ Ｖ １ ，ｖ ２ ） 点 到 簇 的距 离 即为 点 到 这 个 簇 的中心 点 的距 离 。这里 的距离 计算 采 用的是 欧几 里德 距离 ：
据 ，为准确 地发现 聚类 分析模 式扫 清障碍 。 数 据准 备阶段 的另一个 任 务是数 据 的 中心 化和 标
凑和 独立 。
经 验和 对 数据 的认 识 选择 描述 数 据对 象 间相 似 性 的方 法 ，构 造 数据 对 象 问 的相 似 关 系 ，如 生 成 相似 矩 阵 、 构 造 密度 函数 等 。数 据集 的特 征提 取 有 时是基 于 数据 本身 的 ，如基 于 连接 的聚 类定 义 方法 通过 直接 运 用数
使聚 类 结果 有所 改 变 。针 对这 些特 点和 现有 聚 类算 法 存 在 的不足 ，本 文在 此研 究 的基础 上提 出一 种算 法 即
据点 的物 理位 置 关系建 立 聚类 。
４ ． ２基于最 小距离算法
聚类参数会影响聚类的结果、模型建立和检查效
率 ，检 测的 结果 也受参 数 的 影响 参数 的选 取在 这个
过程 中显得 很重 要 。所 以我们 研究 聚 类分析 的任 务 主
要集 中在聚 类参 数 的选 择上 。还有 噪音 和孤 立 点对 于 聚 类结 果 的影 响也很 大 可 能少数 的这 些 数据 对象会
距离 为类 间距离 ：
（ ， Ｃ ｂ ） ＝ ｍ ｉ ｎ ｛ ｄ （ ｘ ， ｙ ） ｌ ｘ ∈ ， Ｙ ∈ １ （ ２ ）
最 长距离 法 ．定义 两个 类 中最远 两 个元 素间 的距 离 为 类问距 离 ：
一种新的入侵检测方法
权值 ， 同时如何 选择 较 为简单 的模 型结 构 以确 保 网
络 的泛化 性 能 。
２ 聚 类分 析
基 于两 阶段 学 习方 法 构 建 Ｒ Ｆ神 经 网 络 ， Ｂ 对 数 据训 练和 预测 时无法 回避 以下 问题 ： 隐层 节点个 数 的选择 ， 监督 学 习初 始 中心 的 确定 ， 非 以及 如何
聚类 是 一个非 常重 要 的非 监督 学 习问题 ， 可 它 以简单 的定 义为 ： 目标分 组 ， 得 组 内成 员之 间 将 使
１ Ｅ 向基 函数 神 经 网 络
ＬＦ神经 网络作 为前 向神 经 网 络 的一 种 主 要 Ｂ
形 具 有结 构简单 、 习快 速 的特点 ， 学 而且 已经 从 理 让 证 明 ， 要 给 定 足 够 多 的 网络 隐 层 节 点 ， 只
入侵检 测技 术是 一 种 能 及 时 发 现并 报 告 系 统
其 中 ｃ表示 隐层节 点 的个数 ， 和 ｏ 分别 表 示第 ｉ ｒ
个 隐层 高斯 基 函数 的 中心 和 扩 展 常 数 ， 表 示 连 接 隐层 和输 出层 的权值 。 Ｂ Ｒ Ｆ神经 网络设 计 的核 心 问题是 ： 在满 足 目标误 差要 求 的 前 提 下 ， 何 确 定 如 隐层节 点 的数 目以及相 应 的中心 ， 扩展 常数 和输 出
维普资讯
第 ６卷 第 ６期
２００７年 ６月
南 阳师 范学院 学报
Ｊ ｕ ｎ ｌｏ ｎ ａ ｇ Ｎｏ ｍａ ｉｅ ｓｔ ｏ ｒ ａ ｆＮａ ｙ ｎ ｒ ｌＵｎ ｖ ｒｉ ｙ
Ｖ０ ． ． １ ６ ＮＯ ６
Ｊ ｎ． ２ ０ ｕ ０７
一
种 新 的 入 侵 检 测 方 法
李 昂
基于机器学习的网络欺诈检测与防范系统设计与实现
基于机器学习的网络欺诈检测与防范系统设计与实现网络欺诈是在互联网上不断增长的严重问题，给个人和企业带来了巨大的损失。
为了应对这一挑战，研究人员一直致力于开发基于机器学习的网络欺诈检测与防范系统。
本文将介绍这样一个系统的设计和实现过程。
首先，一个有效的网络欺诈检测与防范系统需要有一个可靠的数据集。
这个数据集应包含欺诈和非欺诈的样本，并且应具有丰富的特征集。
特征集可以包括用户行为数据，网络流量数据，交易信息等。
获取这些数据集需要与企业、政府合作，并注意保护用户隐私。
在收集到数据集之后，接下来的步骤是数据预处理和特征工程。
数据预处理的目标是将数据清洗并转化为机器学习算法可以处理的格式。
这包括填充缺失值，处理异常值等。
特征工程是一个关键的步骤，它需要从原始数据中提取有用的特征。
这可以通过统计方法、聚类分析和信息论方法等来实现。
选择合适的机器学习算法是设计一个网络欺诈检测与防范系统的另一个重要考虑因素。
通常，机器学习算法可以分为监督学习和无监督学习两类。
在监督学习中，需要标记好的欺诈和非欺诈样本用于训练分类器。
一些常用的算法包括支持向量机、决策树和随机森林。
而在无监督学习中，无需标记样本，系统会自动发现潜在的模式和异常。
聚类、异常检测和流量分析等技术可以用于无监督学习。
一旦选择了合适的机器学习算法，接下来是模型的训练和评估。
为了训练模型，需要将数据集分为训练集和测试集。
训练集用于优化模型参数，测试集用于评估模型的性能。
常用的性能指标包括准确率、召回率和F1分数。
如果模型的性能不令人满意，可以考虑进行模型参数调整、数据集扩充或者尝试其他算法。
除了机器学习算法，网络欺诈检测与防范系统还可以利用其他技术来提高检测准确性。
例如，使用图像识别技术可以分析用户上传的图片，检测是否存在欺诈行为。
自然语言处理可以用于分析文本数据，提取关键信息并发现隐藏的欺诈行为。
另外，系统也可以利用数据挖掘技术，探索潜在的规律和关联性。
基于聚类和报警先决条件的网络入侵关联分析
中 图分类号： Ｐ９ Ｔ３３
基 于 聚 类和报 警先 决 条件 的 网络 入侵 关联 分析
吴正桢 ，陈秀真 ，李建华
（＿ Ｉ 上海交通 大学 电子工程系，上海 ２ ０ ４ ；２ ０ ２ ０ ．上海交通 大学信息安全工程学院，上海 ２ ０４ ） ０ ２ ０
摘
要 ：分析 了聚类算法和报警先决条件 关联方法 ， 在二者的基础上提 出了一种基于聚类和报警先决条件的网络 入侵关联分析模型 。使用
［ ｙｗ ｒ ｓ ｎｒｓ ｎｄ ｔ ｔ ｎ ｃｕｔ ｎ ｌｏ ｔｍ； ｒｒｑ ｉ ｔ— ｎｅ ｕｎ ｅ ｌｒｃｒ ｌｔ ｎｍｅｈｄ ［ ｏ ｄ Ｉｉｔ ｉ ｅｅ ｉ ； ｌｓ ｒ ｇａｇ ｒｈ ｐｅｅｕｓｅｃ ｓｑ ｅｃ ｅ ｏ ｅａｉ ｔｏ Ｋｅ ｕｏ ｃｏ ｅ ｉ ｉ ｉ ｏ ａｔ ｏ
［ ｓｒｃ］Ａｆ ｒ ｎ ｌｓ ｇｔｅｃｕｔ ｉｇａ ｏ ｔｍ ｎ ｌ ｓｐｅｅ ｕｓｅｃ ｎｅｕ ｎｅａｔｂｔｓ ａ ｏ ｅ ａ ｐｏｃ ｆ ｏｒｌｉｇａ ｄａ ａ ｓ ｇ ［ ｔａ ｔ Ａｂ ｔ ａ ｉ ｌｓ ｒｎ ｌ ｒｈ ａ ｄａｅ ’ ｒｒｑ ｉｔ—ｏ ｓｑ ｅ ｃ ｔ ｉｕｅ， ｖ ｌｐ ｒａｈｏ ｒ ａ ｎ ｎ ｎｌ ｉ ｅａ ｙ ｎ ｈ ｅ ｇｉ ｔ ｒ ｉ ｒ ｎ ｃ ｅｔ ｙｎ
２ Ｄｅ ａ ｍｅ ｔ ｆＩ ｏ ｍａｉ ｎＳ ｃ ｒｔ ｎ ｇｎ ｅｉｇ Ｓ ａ ｇ ａ ｉｏｏ ｇＵｎｖ ｒｉｙ Ｓ ｎ ｈ ｉ２ ０ ４ ． ｐ ｒ ｎ ｔ ｏ ｎｆｒ ｔｏ ｅ ｕ ｉ ａ ｄＥｎ ｉｅ ｒｎ ， ｈ ｎ ｈ ｉ ａ ｔｎ ｉｅｓｔ， ｈａ ｇ ａ ０ ２ ０） ｙ Ｊ
入 侵 检 测系 统 （ ｔ ｓ ｎ ｄｔｃ ｏ ｙｔｍ． Ｄ ） 近 年 来 ｉ ｒ ｉ ｅｅｔ ｎ ｓｓ ｎｕｏ ｉ ｅ Ｉ Ｓ是 迅 速 发 展 的系 统 安 全技 术 ，已 经成 为 继 防 火墙 之 后 的第 ２道
一种基于聚类的异常检测方法
2011年 第 30卷 第 1期
传感器与微系 统 ( T ransducer and M icrosystem T echnolog ies)
聚类算法主要被划分为层 次的方法和分区的方法。典 型 的 层 次 聚 类 算 法 有 BIRCH [ 4], CUR E[ 5] 和 CHAM ELEON [ 6] 等。而基于分区的 聚类算法 的基本 思想 是利用 某 一个划 分方法对 n 个对象 进行分区, 得到的 每一个分 区代 表 一个 聚簇。 代表 性的 分 区算 法 有 PAM [ 7] , CLARA [8] 和 CLARAN S[ 9] 等。 PAM 算法仅对小的数据集合非常有效, 而 对大的数据集合 没有良 好的可 伸缩性。 作为对 PAM 算 法 的改进, 出现了 CLARA 算法 和 CLARANS算 法。从理 论上 分析, 由于 CLARA 算法只 是对一部 分样本进行 划分, 可能
首先, 将数据 随机取样, 由于样本的中心点在真正随 机 抽取的条件下可以看作是整个数据集的中心点, 因此, 通 过 对 m 组样本进行 PAM 划分, 可 生成 m 组 k 个中心 点的 候 选集 。然 后, 由 于该候 选集 代表了 数据 集在 不同采 样情 况
收稿日期: 2010) 05) 10 * 基金项目: 国家科技支撑计划资助项目 ( 2008BA C35B05) ; 中国地震局教师科研基金资助项目 ( 20090105, 20090301, 20090101) ; 河北省教 育 厅自然科学研究计划资助项目 ( Z2009407)
19
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
（． １ 哈尔滨理工大学 计算机科学与技术学 院， 黑龙江 哈尔滨 １０ ８ ； ５ ０ ０
２ 哈 尔滨师范大学 呼兰学院 ， ． 黑龙江 哈尔滨 １ ００ ） ５ ５０
摘
要： 入侵 检测 中对 未知入 侵 的检 测主要 是 由异 常检 测来 完成 的 ， 统 异 常检 测 方法 需要 传
维普资讯
第１ ２卷
第１ 期
２０ ０ ７年 ２月
哈 尔 滨 理 工 大 学 学 报 Ｊ ＵＲＮＡＬ ＨＡＲＢ Ｎ ＵＮＩ ０ Ｉ Ｖ．Ｓ Ｉ ＆ Ｔ ＣＨ． Ｃ． Ｅ
Ｖ０ ． ２ Ｎｏ １ １１ ． Ｆ ｂ ，２ ０ ｅ． ０７
基 于 聚 类 的 网络入 侵 检测 系统 模 型
Ａｂ ｔ ａ ｔ Ｉ ｉ ａ ｃ ｍｐ ｉ ｅ ｙ ａ ｎ ｒ ｌ ｅｅ ｔ ｎ ｔ ｅ ｅ ｔ ｈ ｎ ｅ ｔ ｉ ｎｒ ｓｏ ｅ ｉ ｔ ｓ ｎ ｄ ｔｃｉｎ ｓｒ ｃ ：ｔ Ｓ ｃ ｏ ｌ ｈ ｄ ｂ ｂ ｏ ｍａ ｔ ｃｉ ｄ ｔｃ ｅｕ ｃ ｒ ｎ ｉ ｔ ｉｎ ｉ ｔ ｎｒ ｉ ｅｅ ｔ ． ｓ ｄ ｏ ｏ ｔ ａ ｕ ｎ ｈ ｕ ｏ ｏ Ｔ ａ ｉ ｏ ａ ｂ ｏ ｍａ ｄ ｔｃｉ ｎ ｍｅ ｏ ｓｎ ｅ ｅ ｅ ｅ ｃ ｄ ｌ ｔ ｒ ｆ ｅ ｏ ｏ ｍａ ｃｉ ｎ ｂ ｔ ｕ ｌ ｅ ｃ ａ ａ — ｒ ｄ ｔ ｎ ｌａ ｎ ｒ ｌ ｅｅ ｔ ｔ ｄ ｅ ｄ ａ ｒ ｆｒ ｎ ｅ ｍｏ ｅ ｈ ａ ｐ ｏ ｌ ｆ ｒ ｌａ ｔ ． ｕ ｉ ｔ ｈ ｒ ｃ ｉ ｏ ｈ ｗｉ ｉ ｎ ｏ ｂ ｄｈ
ｔｒｐ ｏ ｌ ｒ ｒ ｉ ｃ ｌ．Ｓ ｉ ａ ｅ ｕ ｓｆｒ ｒ ｏ ｎ ｔ ｒ ｎｔｕ ｉｎ ｄ ｔｃ ｉｎ ｉ ｏ ｉ ａｉｎ ｗｉ ｌ ｓｅ ｎｇ ｅ ｒ ｆ ｅ ａｅ ｍｏ ｅ ｄｆ ｕ ｔ ｏ ｔ ｓｐ ｐ ｒｐ ｔ ｏｗａ ｄ ｔ ｅ ｗｏ ｋ ｉ ｒ ｓｏ ｅｅ ｔ ｎ ｃ ｍｂ ｎ ｔ ｔ ｃ ｕ ｔｒ ｉ ｉ ｆ ｈ ｏ ｏ ｈ ｉ
计算 机网络在 现代社 会 中发挥着 越来 越重 要的
了入 侵检测 系统 （Ｄ ）¨． Ｉ Ｓ
作用， 因此 也成为许 多恶 意者 的攻击 目标 ． 各种 网络 入侵事件促 进 了网络安 全技术 的发展 ， 中， 侵检 其 入
１ 无 监 督入 侵 检 测
人 侵检测 按检 测技术 分 为异常 入侵检 测和误用 人侵检 测． 目前 大 部分 的入 侵 检测 方 法 使用 大 量的 带标签 数据或 者完 全 正 常 的 数据 来 进行 训 练 ， 现对
ａｇ ｒ ｍ．Ｔ ｅ ｂ ｎ ｆ ｆｔ ｅ ａｇ ｒｔｍ ｓ ｔ ａ ｅ ｄ ａ ｅ ｅ ｒ ｉ ｉｇ ｄ ｔ ｅ ｓｂ ａ ｄ ｏ ｔ ｅ ｔｏ ｓ ｎ ｌｏ ｉ ｈ ｔ ｈ ｅ ｅ ｔｏ ｌ ｏ ｈ ｉ ｈ ｔｉ ｎ ｅ ｎ ｔ ｂ ｌｄ ｔ ｎ ｎ ａａ ｓ ｔ ｙ ｈ ｎ ｒｏ ｈ ｒｍｅ ｄ ．Ａ ｄ ｉ ｈ ｉ ｔ ｌ ａ ｈ
构造 一个正 常行 为 特征轮 廓 的参考模 型 ， 建 立该特征 轮廓 使 系统 的开销 巨大． 此 ， 出一种 针 但 对 提
对 网络入侵检 测的 聚类 算法 ， 该方法 的优 点在 于不 需要 用人 工 的或 其 他 的 方法 来 对训 练 集进行 标
识． 在检测过程 中， 随着有效信息的不断增加 ， 模型得到 了更新 ， 使增量聚类后 的新模型与原有模型
Ｓ ｓｅ Ｍｏ ｅ ａ ｅ ｎ Ｃｌｓｅ ｉｇ ｙ ｔ ｍ ｄ ｌ ｓ ｄ ｏ ｔ ｒ Ｂ ｕ ｎ
ＺＨＯＵ ｉｇ ， ＳＵＮ ｉｇ—ｏ ｇ Ｙｎ Ｍ ｎ ｓｎ
（ ． ｏ ｐ ｔｒ ｃ ｎｅ＆ Ｔ ｃｎｌｇ ｏ ｅｅ Ｈ ｒｉ ｉ．ＳｉＴｃ ． Ｈ ｒｉ ５ ０ ０ Ｃ ｉａ １ Ｃ ｍ ｕｅ ｉ ｃ Ｓｅ ｅｈ ｏｏｙＣ ｌ ｇ ， ａｂｎＵｎ ｌ ｖ ｅ． ｅｈ ， ａｂｎ１０ ８ ， ｈｎ ； ２ Ｈｕａ ｏｌ ｅ Ｈ ｒｉ ｏｍ ｌ ｎｖｒｉ ， ａｂｎ１ ００ ， ｈｎ ） ． ｌｎＣ ｌｇ ， ａｂｎＮ ｒ ａ Ｕ ｉ ｓｙ Ｈ ｒｉ ５５ ０ Ｃ ｉａ ｅ ｅ ｔ
的检 测性 能相 比， 有很 大提 高．
关键词 ： 侵检 测 ；无监督 异 常检 测 ；聚类 入
中图分类 号 ： Ｐ ９ ． ８ Ｔ ３ ３ ０ 文 献标识 码 ： Ａ 文章 编号 ： ０ ７ ２ ８ （ ０ ７ ｏ 一０ ３ — ４ １０ — ６ ３ ２ ０ ） ｌ ０ ９ ０
Ｔｈ ｔ ｒ ｔｕ ｉ ｔ ｃ ｉｎ ｅ Ｎｅ ｗｏ ｋ Ｉ ｒ ｓｏｎ Ｄｅ ｅ ｔ ｎ ｏ
ｉ ｅ ｄｅｅ ｔｏ ｅ ｍｏ ｅ ｙ ｂ ｎ ｒ ｍｅ ｔ ｌｕ ｄ ｔ ｄ ｂ ｅ ｉ ｃ ｅ ｓｎｇ ｔ ｔｃｉｎ ｔ ｄ ｌｍａ ｅ ｉ ｃ ｅ ｎ ａ ｐ ａｅ ｙ ｔ ｎ ｒ ａ ｉ ｅ ｕ ｎ ｏ ｍａ ｉ Ｓ ｈ ｅ ｍｏ ｅ ｆｅ ｈ ｈ ｈ ｏ
ｉ ｃｅ ｎ ａ ｌ ｓ ｒ ｇ ｉ ｍｏ ｅ ｈ ｇ ｌ ｅｅ ｔ ｅ ｔ ａ ｈ ｒ ｉａ ｄ １ ｎ ｒ ｍｅ ｔ ｃｕ ｔｉ Ｓ ｒ ｉｈ ｙ ｄ ｔｃ ｉ ｎ ｔ ｅ ｏ ｇｎ ｌ ｌ ｅｎ ｖ ｈ ｉ ｍｏ ｅ ． Ｋｅ ｒ ｓ ｉ ｔ ｓ ｎ ｄ ｔ ｃ ｏ ｙ ｗｏ ｄ ： ｒ ｉ ｅｅ ｔ ｎ；ｕ ｓ ｐ ｒ ｉｅ ｎ ｍａｙ ｄ ｔ ｃｉｎ；ｃｕ ｔｒ ｇ ｎ ｕ ｏ ｉ ｎ ｕ ｅ ｖｓ ｄ ａ ｏ ｌ ｅｅ ｔ ｏ ｌｓ ｉ ｅ ｎ