数据挖掘方法在入侵检测系统中的应用

介绍了入侵检测的概念及其技术方法，比较了异常检测与误用检测方法的优缺点，探讨了数据挖掘技术在异常检测中的应用，分析了数据挖掘方法中的关联分析、序列模式分析和分类分析在入侵检测系统中的协同工作方式，通过对用户行为模式的挖掘，得到入侵规则．     

基于主成份分析的异常检测方法研究

针对现有的无监督异常检测技术的不足之处，提出了一种基于样本分布异常数据实例度量方法。针对数据对象是高维数据的问题，将主成份分析方法应用到异常检测中解决数据集的降维问题。在此基础上，提出了一种新的无监督异常检测算法μ-UAD，并对该算法进行了性能评估。     

基于支持向量机的网络入侵异常检测

针对入侵检测系统（IDS）这门新兴的安全技术，提出了一种基于支持向量机的网络入侵异常检测模型，以支持向量机（SVM）的二类分类能力对网络入侵进行异常检测，实验结果与ANN方法结果相比较证明：该方法具有较高的准确性，而且可以大大缩短训练与检测时间．     

基于异常和误用检测协同的 多代理分布式入侵检测系统模型

入侵检测是一个比较新的、迅速发展的领域，已成为网络安全体系结构中的一个重要环节。本文通过对多代理技术和两种入侵检测方法的研究，提出了一种基于异常和误用检测协同的多代理分布式入侵检测系统模型，并且对该模型的结构和代理的处理流程进行了描述，该模型是一个开放的系统模型，具有很好的可扩展性，易于加入新的入侵检测代理，也易于增加新的入侵检测模式，代理之问的协同采用独立的通信服务代理来宾现。     

浅谈入侵检测技术

入侵检测技术是新一代集检测、记录、报警、响应于一体的动态安全防范技术，通过采用特征检测和异常检测两种手段来检测入侵行为。其工作模式主要分为基于网络的网络入侵检测系统和基于主机的主机入侵检测系统，目前入侵检测技术的技术难点是检测精确度、检测速度和入侵 检测的互动性。     

异常检测综述

异常检测旨在检测出不符合期望行为的数据,因而适合应用于故障诊断、入侵和欺诈检测以及数据预处理等多个领域.针对目前众多的专用和通用异常检测方法,本文侧重对基于统计的主流异常检测方法进行了回顾,力图提供一个新的结构化的异常检测方法的认识框架,并依据其监督和无监督学习算法的原理进行了简单分类,特别对部分异常检测方法间的等价性进行了深入探讨.     

基于数据挖掘的自适应入侵检测系统

基于数据挖掘技术的入侵检测技术是近年来研究的热点，然而，当前采用数据挖掘技术的入侵检测系统存在的一个主要弊端是当被保护的系统发生了一些变化或进行了一定程度的调整后，误报率会明显提高．本文提出了一种自适应入侵检测系统框架，该框架能够自适应的维护正常规则集，并且在不牺牲检测性能的情况下解决规则的重新计算问题，从而使正常行为轮廓中的规则可以不断更新，加入新规则，删除旧规则，并修改已有的规则的支持度和置信度，从而有效地解决了基于数据挖掘技术入侵检测系统规则集的及时更新问题。     

基于聚类分析的数据库入侵检测框架及其应用

针对现存数据库入侵检测研究需要纯训练集,该文提出一个基于聚类分析的数据库入侵检测框架,定义了数据库查询的表示方法及其相似度计算方法,研究了框架实现的3个核心算法。算法根据距离函数对原始审计数据进行聚类,并对每个聚类进行标记,利用异常检测引擎对实时查询进行检测。通过实验给出了对合法用户攻击的检测率和误报率,并分析了影响因素。     

基于文法的异常检测

为了解决现有异常检测技术除了简单报警外不能提供任何有用信息的问题，提出了一种新的异常检测方法.将服务器程序的运行踪迹通过一个由系统调用、操作、事务、活动组成的层次结构模型表示，利用关键系统调用及其参数和返回值，对正常运行踪迹按层次结构模型进行分割，从中学习描述程序正常行为模式的上下文无关文法，并以标注的形式为文法产生式附加语义信息.测试实验结果表明，该方法不仅能够有效检测利用安全漏洞进行的各种攻击，而且可以对入侵事件进行分析，提供包括入侵者IP地址在内的详细报告.     

融合注意力与卷积的系统调用异常检测

基于系统调用数据是实施主机异常检测的一种有效手段，然而现有检测技术无法有效应对混淆攻击。提出一种融合注意力与卷积的系统调用异常检测模型，能够同时关注到系统调用序列展现的进程全局行为与每一个时间窗口的局部行为。首先，设计了一种混淆攻击数据模拟生成方法解决样本数据不平衡问题，提出基于进程行为特征的序列补齐方法增强系统调用语义特征；其次，融合注意力机制与一维权重卷积网络同时从系统调用序列的全局与局部提取数据特征；最后，基于单一变量原则和交叉验证方式获得最优异常检测模型，进而得到异常检测结果。与其他传统异常检测方法对比得出，所提模型具有更高的准确率(96.6%)和较低的误报率(1.9%),同时此模型具有抵抗混淆攻击的能力。     

基于RBF神经网络的多级入侵检测研究

为了将误用检测技术和异常检测技术结合起来同时应用于入侵检测系统,提出了多级结构的神经网络入侵检测模型,并将基于径向基函数RBF的神经网络应用于提出的多级结构的入侵检测系统中。实验证明,基于RBF神经网络的多级结构的入侵检测系统具有训练时间短、较高的检测率和较低的误检率等性能,它既能检测到已知的入侵也能检测到未知的入侵。     

企业IT网络异常流量综合检测模型

结合企业内部信息技术网络特点,提出了用时间窗比较进行网络异常流量检测的新算
法. 将新算法同已有的静态、动态检测算法相结合,提出了网络异常流量综合检测模型. 该
模型可通过不同方法和角度进行比较,以发现网络中是否存在异常流量. 通过实际实现和
测试验证了模型的有效性.     

基于免疫算法的入侵检测系统

文章提出并实现了一种基于异常检测的入侵检测系统，利用生物免疫系统的特点来提高检测入侵行为的能力，使入侵检测系统具有一定的智能性和分布性，同时能发现新的未知入侵方式，与基于特征入侵的系统结合可以达到更高的检测的能力。文章最后给出了在局域网中的性能测试实例。     

应用支持向量机实现计算机入侵检测

介绍入侵检测的概况和支持向量机的基本概念和工作原理,提出了应用支持向量机进行异常入侵检测的工作过程,并以程序执行迹为数据源给出了应用支持向量机进行入侵检测的性能．该结果显示出在先验知识,即训练样本数少的条件下,该方法仍能达到较为满意的效果．     

利用入侵检测技术防范DDoS

分布式拒绝服务攻击(DDoS)由多宿主机发动,是目前常见的网络攻击中比较严重的一种,难于检测和跟踪。为此,阐述了DDoS的攻击方式的体系结构,并较为详细地分析了DDoS的机理并给出了攻击实例,概述了入侵检测技术的概念,提出了利用入侵检测技术防范DDoS攻击的一种尝试。设计一个针对DDoS的入侵检测方案,该方案检测通过路由器的数据包的流量判断是否异常。如果发现数据包的异常发送,则发出受攻击信号。本方案由3部分组成:包分类,获取原始的网络流量统计;流量离散函数,计算网络数据包的发送特性;基于变异的检测,在当前流量远远偏离历史上的正常变化范围时做出反应。     

一种改进免疫遗传算法及在异常检测中的应用

该文针对免疫遗传算法的不足,在分析其特性的基础上,引入了隔离小生境技术,改进交叉算子和变异算子,提出一种改进算法。在基于模糊关联规则挖掘的异常检测中采用本算法优化后的隶属函数,能够扩大正常关联规则集之间的相似度,缩小正常与异常关联规则集之间的相似度,提高异常检测的性能。通过以网络流量为数据的异常检测实验仿真对算法进行了验证。实验结果说明了该算法的可行性和有效性。     

An entropy-based unsupervised anomaly detection pattern learning algorithm

Currently, most anomaly detection pattern learning algorithms require a set of purely normal data from which they train their model. If the data contain some intrusions buried within the training data, the algorithm may not detect these attacks because it will assume that they are normal. In reality, it is very hard to guarantee that there are no attack items in the collected training data. Focusing on this problem, in this paper,firstly a new anomaly detection measurement is proposed according to the probability characteristics of intrusion instances and normal instances. Secondly, on the basis of anomaly detection measure, we present a clusteringbased unsupervised anomaly detection patterns learning algorithm, which can overcome the shortage above. Finally, some exoeriments are conducted to verify the orooosed algorithm is valid.     

Application of Bayesian Dynamic Forecast in Anomaly Detection

A macroscopical anomaly detection method based on intrusion statistic and Bayesian dynamic forecast is presented. A large number of alert data that cannot be dealt with in time are always aggregated in control centers of large-scale intrusion detection systems. In order to improve the efficiency and veracity of intrusion analysis, the intrusion intensity values are picked from alert data and Bayesian dynamic forecast method is used to detect anomaly. The experiments show that the new method is effective on detecting macroscopical anomaly in largescale intrusion detection systems.