基于数据挖掘的入侵检测技术研究综述

关键 词 ：网络 安 全 ；入 侵 检 测 ；数 据 挖 掘
０ 引
言
１ 提 出 问题
虽然对入侵 检测方法 及技术 的研究 已经有 ２ ０多
近 年 来 ． 着 网 络 技术 快 速 发 展 种 各 样 的 问题 随 各 也 随 之 产 生 ． 中 网络 安 全 问 题 尤 为 突 出［ 目前 常 见 其 １ １
络安全就没有社会信息化 ．如何争取在信息战 中取得 主动权 ， 保护国家信息安全 ， 是刻不容缓 的研究课题 ， 也
隐藏 的异 常 模 式 ． 而 进 行 入 侵 检 测 。近 １ 进 ０年来 ， 出 提 了许 多 方 法 ． 括 关 联 规 则 、 类 、 包 分 聚类 以 及 从 稀 有 类
是 所 面 临 的重 要 问题 之一
为是 防 火墙 之后 的第 二 道 安 全 闸 门 ．它 在 不 影 响 网络 性 能 的情 况 下 对 网 络进 行 监 测 ． 而提 供 对 内部 攻 击 、 从
２ 典 型 的 解 决 方 案
将入侵检测看作一个数据分析过程的观点导致 了 基 于数 据 挖 掘 的入 侵 检 测 方 法 的研 究 。通 过 对 基 于 主 机 的 审计 轨 迹 （ 如 Ｕ Ｉ 的 Ｂ Ｍ 数 据 １ 基 于 网 络 的 例 ＮＸ Ｓ 和
年 的历程 ． 目前 Ｉ ＳＩｔ ｓ ｎＤ ｔ ｔ ｎＳｓ ｍ 入侵 但 Ｄ （ ｒ ｉ ｅ ｃ ｏ ｙｔ ） ｎｕ ｏ ｅｉ ｅ
检 测系统仍处于相当初级 的阶段： 商业化产品在实施方
法 上 大都 采用 类 似 于 防病 毒 软 件 的硬 编 码 机 制 ，这 显 然 不适 合 日益 变 化 的 网络 攻 击 行 为 ：实 验 室 研 究 虽 然 提 出 了各 种新 方 法 来 检 测 新 类 型攻 击 行 为 ．但 离 实 际 应 用 还 有 相 当 的距 离 当前 研 究 机 构 和 工 业 界 的 入 侵
的网络安全技术主要有加密技术 、身份 鉴别 和认 证技
术 、 问控 制 技 术 、 火墙 技术 和入 侵 检 测 技 术 等［１ 访 防 ２。 － ３ 这 ４ 技 术都 属 于传 统 的静 态 安 全 技 术 ．在 保 护 种 网络安 全方 面虽 然 起 到 了很 大 的积 极 作 用 ． 这 种 保 护 但 常 常是 被动 的 ． 能主 动地 发 现一 些安 全 隐患圈 不 而 入侵 检 测 技 术是 属 于 主 动 的保 护 网络 安 全 技 术 ．是 当今 一 种 非 常 重要 的 动态 安 全技 术 入 侵 检 测 技 术作 为 网络 安 全 研 究 的 重 要 内 容 ．更 是 引起 了 国 内外 学 者 的 广 泛 关 注问 入 侵检 测 技 术 是 二 十 年 多年 来 出现 的一 种 主 动
基于数据挖掘 的入侵检测技术研究综述
刘小明 ． 熊 涛
（ 江西 理 工 大 学 理 学 院 ，赣 州 ３ １ ０ ） ４ ０ ０
摘
要： 入侵 检 测技 术 是 近 年 来 研 究 的 热 点 ， 先 说 明入 侵 检 测研 究 的 重要 意 义 和 必 要 性 ， 后 在 首 然 深入 研 究数 据 挖 掘技 术 和入 侵 检 测 技 术 的基 础 上 ． 对 目前 入 侵 检 测 系统 中存 在 的 一 些 问 针 题 ， 绍 几 种 典 型 的解 决方 案 ， 介 并对 它 们 进行 比较 和 分 析 ， 论 今 后 研 究 发展 方 向 。 讨
修 稿 日期 ： ０ ０ ４ ６ ２ １ －０ —１
作 者 简介 ： 小明 （ ９ １ ， ， 西 瑞金 人 ， 士研 究 生 ， 究 方 向 为智 能 计 算 智 能软 件 刘 １ ８ 一） 男 江 硕 研
囝 现 计 机 ２１ｏ４ 代 算 ０ｏ
．
研 究 与 开 发
／
／／
者 的各 种 入 侵 行 为之 间 的 相 关 性 关 联 规 则 挖 掘 是 数 据 挖 掘 最 为 广 泛 应 用 的 技 术 之 一 ．也 是 最 早 用 于 入 侵 检 测 的技 术 现 在 已有 多种 关 联 规 则 算 法 例 如 Ａ ｒ ｒ ｐｉ ｉ ｏ 算 法 等 用 于 入 侵 检 测 关 联 规则 最早 被 用 于 分 析 网络 流数 据 ．随后 也 将 关 联 规 则 的挖 掘 结 果 作 为后 挖 掘 的 输 入 数 据 ．以便 能 挖 掘 出 更 优 的 结 果 乔 治 梅 森 大 学 的研 发 人 员 发 展 了 关 联 挖 掘 在 入 侵 检 测 方 面 的 重 要 应 用 ．并 提 出一 种 新 型 的 应 用 于 异 常 检 测 的 多重 检 测 方 法 他 们 的研 究 成 果 主 要 在 Ａ Ａ （ｕ ｉ Ｄ ｔ Ａ ａ ｓ ｎ ｎ 系 统 Ｄ Ｍ Ａ ｄｔ ａ ｎｌ ｉ ａｄＭｉ ｎ ａ ｙｓ ｉ 中得 到应 用 。 步 的实 验 结 果 非 常 理 想 。 Ｄ Ｍ 系 统 在 初 Ａ Ａ
是在未来信息社会 中能够生存 的必 由之路 因此 ． 致力
于入侵检测的研究具有重要 的社会意义和现实意义翻 中学Biblioteka 的技术 和基于代价的建模技 术等。
２ｌ 基 于关联 规 则 的入 侵 检 测技 术 －
在 网 络安 全 系统 中 ．可 以用 关 联 分 析 来 找 出入 侵
收 稿 日期 ：０ ０ ３ １ ２ １ —０ —１
审 计 轨 迹 ｆ 如 ｔｐ ｕ 例 ｃ ｄ ｍｐ数 据） 行 挖 掘 分 析 ， 现 其 中 进 发
外部攻击和误操作 的实时保护
当今 ， 络 犯 罪 日益 严 重 ． 障 网 络 系 统 的 安 全 ． 网 保 给 广大 网 民一 个 洁 净 的 网络 环 境 已是 当务 之 急 网络 安全 已成 为 国家 与 国 防安 全 的重 要 组 成 部 分 ．没 有 网
保 护 自己 以 免 黑客 攻 击 的新 型 网 络安 全 技 术 它被 认
检测 系统普遍存在 的最 突出的共性 问题是 ：系统只能
检 测 已知 类 型 的攻 击 行 为而 对 新 攻 击 类 型 往 往 会 误 报
漏 报 ． 而失去应有 的性 能 ． 从 系统在检测攻击行为时实 时性不够 ， 除此之外 ． 系统 操作非常 繁琐 ， 配置复杂也