基于關(guān)聯(lián)規(guī)則的入侵檢測(cè)系統(tǒng).pdf

1、信息技術(shù)發(fā)展的日新月異使得信息安全問(wèn)題正逐漸變得重要起來(lái)。入侵檢測(cè)的意義在于“防患于未然”，在惡意攻擊者能夠?qū)π畔⑾到y(tǒng)造成破壞之前及時(shí)發(fā)覺攻擊者的意圖和行為，并采取相應(yīng)的措施，以保證信息系統(tǒng)的安全。 入侵檢測(cè)的基本方法有兩類：異常檢測(cè)和誤用檢測(cè)。兩種方法各有其優(yōu)缺點(diǎn)，異常檢測(cè)以一組屬性參數(shù)標(biāo)識(shí)系統(tǒng)的正常狀態(tài)，一旦檢測(cè)到這些參數(shù)發(fā)生偏離，即認(rèn)為是一個(gè)異常，它不依賴于關(guān)于入侵手段的先驗(yàn)知識(shí)，理論上能夠檢測(cè)出一切的入侵，即使是之前從未

2、被發(fā)現(xiàn)過(guò)的入侵手段。但是由于異常和正常是一個(gè)相對(duì)模糊的概念，因此無(wú)法很精確的界定，界定過(guò)嚴(yán)，則虛警率升高：界定過(guò)寬，則漏警率升高，兩者難以平衡。誤用檢測(cè)具有檢測(cè)精確度高、虛警率低的優(yōu)點(diǎn)，但是它依賴于提取特征，無(wú)法對(duì)那些尚未確定的新的入侵手段做出檢測(cè)。分析發(fā)現(xiàn)，兩種方法的優(yōu)缺點(diǎn)具有很大的互補(bǔ)性，異常檢測(cè)的普適性可以彌補(bǔ)特征檢測(cè)不能發(fā)現(xiàn)新入侵攻擊手段的缺陷，而特征檢測(cè)的精確性可以改善異常檢測(cè)概念上的模糊性，平衡異常檢測(cè)的虛警率和漏警率這一對(duì)

3、矛盾。基于這種考慮，本文采用了協(xié)同檢測(cè)的策略，在系統(tǒng)中集成了異常檢測(cè)和特征檢測(cè)兩個(gè)獨(dú)立的模塊，讓其協(xié)同工作，互為補(bǔ)充。 在異常檢測(cè)模塊中，本文使用關(guān)聯(lián)規(guī)則來(lái)標(biāo)識(shí)系統(tǒng)的正常行為模式，然后根據(jù)對(duì)實(shí)時(shí)網(wǎng)絡(luò)數(shù)據(jù)包的分解和模式匹配，判定該數(shù)據(jù)包是否屬于異常.經(jīng)典的關(guān)聯(lián)規(guī)則挖掘算法Apriori算法具有簡(jiǎn)潔和完備的優(yōu)點(diǎn)，但是算法運(yùn)算量過(guò)大導(dǎo)致每次挖掘時(shí)間過(guò)長(zhǎng)，無(wú)法滿足入侵檢測(cè)系統(tǒng)實(shí)時(shí)性的要求，而且算法導(dǎo)致系統(tǒng)I/O負(fù)荷過(guò)重。本文在Aprio