基于数据流的网络入侵实时检测框架

针对计算机网络访问请求具有实时到达以及动态变化的特点,为了实时检测网络入侵,并且适应网络访问数据的动态变化,提出一个基于数据流的网络入侵实时检测框架。首先,将误用检测模式与异常检测模式相结合,通过初始聚类建立由正常模式和异常模式构成的知识库;其次,采用数据点与数据簇之间的不相似性来度量网络访问数据与正常模式和异常模式的相似性,从而判定网络访问数据的合法性;最后,当网络访问数据流发生演化时,通过重新聚类来更新知识库以反映网络访问的最近状态。在入侵检测数据集KDDCup99上进行实验,当初始聚类的样本数为10000,缓冲区聚类的样本数为10000,调节系数为0.9时,召回率达到91.92%,误报率达到0.58%,接近传统非实时检测模式的结果,但整个学习和检测过程只需扫描网络访问数据一次,并引入了知识库的更新机制,在入侵检测的实时性和适应性方面更具有优势。     

基于空间扩维特征的主机入侵检测模型

在基于访问控制粒度和多维安全拓扑空间的基础上分析了入侵攻击的特点,并提出基于空间扩维特征的入侵检测模型--SEDIDS. 为访问控制系统中的实体建立了语义网络模型,用语义网络完备性推理来检测访问控制实体的完整性,作为入侵攻击行为判断的依据,从而取代了依赖训练数据集建立系统访问模式轮廓进行比对的入侵检测传统手段.实验结果表明:该模型相对于传统的入侵检测具有较低的漏报率和误报率,并有较高的运行效率.     

基于遗传算法的入侵检测系统研究

针对目前入侵检测系统不能有效检测未知入侵行为的问题,根据遗传算法在动态环境中的鲁棒性、自适应性强的特点.提出了一种基于网络的异常检测算法来检测网络数据.该算法弥补了传统的统计检测方法的缺陷,即忽略了一段时间内在网络环境下各变量之间的关系.使用不包含入侵攻击行为的网络数据进行训练学习,并使用多维空间坐标来描述这些网络数据.再利用遗传算法进化出相应的检测规则集来检测异常数据.     

网络入侵检测中序列模式挖掘技术研究

面向入侵检测的数据挖掘是目前国际上网络安全和数据库、信息决策领域的最前沿的研究方向之一。入侵检测中进行序列模式挖掘时，由于频繁网络模式和频繁系统活动模式只能在网络或操作系统的单个审计数据流中获得，因而传统从事件流数据中获取单序列模式的算法，以及从不同多数据序列中获取多个序列模式的算法都不再适用。本文研究了入侵数据的特性，提出了网络入侵检测中序列模式挖掘框架和实时序列模式挖掘模型，并设计了一种新的面向入侵检测．基于轴属性、参考属性、相关支持度的序列模式挖掘算法SPM—ID(Sequential Patterns Mining for Intrusion Detection)。最后在KDD Cup99数据集的基础上实现算法及分析算法的性能。     

数据挖掘技术在网络型误用入侵检测系统中的应用

重点描述了数据挖掘技术在网络型误用入侵检测中的应用，实现了从网络审计数据中挖掘关联规则和序列模式，选择和构建临时统计特征，最后使用RIPPER分类器建立了误用检测模型。     

一种基于误用检测的新算法

当今攻击网络的手段是多种多样的,为保护用户在访问网络资源时不受黑客的攻击,因此需要网络安全设备和网络安全技术。入侵检测技术是一种安全技术,该技术能够检测出网络中数据包的行为属性,是正常还是异常。目前入侵检测技术有两种：误用检测和异常检测。这两种技术都能够阻止网络攻击行为。但要想阻止网络的攻击行为,必须检测出攻击行为。文中在简述了入侵检测技术、粒子群的某些概念后,提出了基于粒子群技术在入侵检测中的应用,最后给出了数据包属性的匹配算法。     

在线自适应网络异常检测系统模型与算法

随着因特网等计算机网络应用的增加,安全问题越来越突出,对具有主动防御特征的入侵检测系统的需求日趋紧迫.提出一个轻量级的在线自适应网络异常检测系统模型,给出了相关算法.系统能够对实时网络数据流进行在线学习和检测,在少量指导下逐渐构建网络的正常模式库和入侵模式库,并根据网络使用特点动态进行更新.在检测阶段,系统能够对异常数据进行报警,并识别未曾见过的新入侵.系统结构简单,计算的时间复杂度和空间复杂度都很低,满足在线处理网络数据的要求.在DARPAKDD99入侵检测数据集上进行测试,10%训练集数据和测试集数据以数据流方式顺序一次输入系统,在40s之内系统完成所有学习和检测任务,并达到检测率91.32%和误报率0.43%的结果.实验结果表明系统实用性强,检测效果令人满意,而且在识别新入侵上有良好的表现.     

基于统计异常的Web应用入侵检测模型研究

传统的网络安全技术已经难以有效防范针对Web应用的攻击行为,Web应用入侵检测作为一种重要的安全技术已受到了广泛的重视。访问日志是Web应用入侵检测的重要数据,然而,海量的日志记录令应用管理员望而却步,若缺乏有效的分析方法,将很难发现和定位入侵行为。致力于这个问题的解决,多种误用和异常检测模型已被提出和采用。针对动态页面采用参数值长度、字符分布等统计异常模型,对真实Web应用的访问日志进行入侵检测,实验结果表明,模型可以有效地检测SQL注入等攻击。     

一种基于聚类分析的入侵检测模型

针对传统的入侵检测技术在大容量网络数据时存在检测性能不足的缺点,研究了一种基于聚类分析算法的新型入侵检测模型,通过聚类分析算法对多维数据进行分析,当不满足聚类要求时,归并邻近数据再次聚类。最后,设计了与K-means算法的对比仿真实验,实验结果表明,基于聚类分析的模型能够有效检测出异常序列,能够抵抗异常攻击。     

采用分类挖掘模式提取网络入侵模型

在WenkeLee的基于数据挖掘技术的网络入侵检测系统结构基础上,通过融合异常入侵检测模块和误用入侵检测模块,构建了一种新的基于数据挖掘技术的自适应网络入侵检测系统结构。描述了对审计数据进行分类挖掘来提取描述正常和异常行为的特征和规则的方法。采用基于决策树和基于关联规则的两种分类方法实现了改进的结构模型中的建模模块,并挖掘出能够反映网络行为的分类规则。     

基于数据挖掘算法的网络入侵检测系统研究

回顾了当前入侵检测技术和数据挖掘技术,分析了Snort网络入侵检测系统存在的问题,重点研究了数据挖掘中的关联算法Apriori算法和聚类算法K一均值算法;在Snort入侵检测系统的基础上,增加了正常行为挖掘模块、异常检测模块和新规则生成模块,构建了基于数据挖掘技术的网络入侵检测系统模型。新模型能够有效地检测新的入侵行为,而且提高了系统的检测效率。     

基于数据挖掘的分布式入侵检测系统

构建了一个基于数据挖掘的分布式入侵检测系统模型。采用误用检测技术与异常检测技术相结合的方法,利用数据挖掘技术如关联分析、序列分析、分类分析、聚类分析等对安全审计数据进行智能检测,分析来自网络的入侵攻击或未授权的行为,提供实时报警和自动响应,实现一个自适应、可扩展的分布式入侵检测系统。实验表明,该模型对已知的攻击模式具有很高的检测率,对未知攻击模式也具有一定的检测能力。     

基于模糊数据挖掘和遗传算法的网络入侵检测技术

文章通过开发一套新的网络入侵检测系统来证实应用模糊逻辑和遗传算法的数据挖掘技术的有效性;这个系统联合了基于模糊数据挖掘技术的异常检测和基于专家系统的滥用检测,在开发异常检测的部分时,利用模糊数据挖掘技术来从正常的行为存储模式中寻找差异,遗传算法用来调整模糊隶属函数和选择一个合适的特征集合,滥用检测部分用于寻找先前行为描述模式,这种模式很可能预示着入侵,网络的通信量和系统的审计数据被用做两个元件的输入;此系统的系统结构既支持异常检测又支持滥用检测、既适用于个人工作站又可以适用于复杂网络。     

一种基于数据挖掘技术的入侵检测模型

针对传统入侵检测规则手工定制的弊端和可扩展性差、适应性差等缺点,设计一种基于数据挖掘技术的可行入侵检测系统模型。模型中引入数据挖掘技术使其能得到计算机系统入侵行为和正常行为,并利用异常检测和误用检测的各自优势,引入混合入侵检测引擎模块。经分析,该检测模型比传统的检测模型有着明显的优势。     

基于数据挖掘的入侵检测系统研究

针对传统入侵检测方法的缺陷：结合异常检测和误用检测方法，提出了一种改进型的基于数据挖掘的入侵检测系统。论述了数据挖掘技术在入侵检测系统中的应用。对常用于入侵检测系统中的数据挖掘技术如关联规则，序列分析，分类分析等进行了分析。     

基于数据挖掘的网络入侵检测系统设计与实现

设计了一个基于数据挖掘技术的网络入侵检测系统模型。该模型在Snort入侵检测系统的基础上,利用数据挖掘技术增加了聚类分析模块、异常检测引擎和关联分析器。该系统不仅能够有效地检测到新的入侵行为,而且能提升检测的速度,在达到实时性要求的同时,解决了一般网络入侵检测系统对新的入侵行为无能为力的问题。     

数据挖掘技术在入侵检测中的应用

数据挖掘技术已在误用检测和异常检测中得到应用。论文介绍了数据挖掘在入侵检测系统研究中的一些关键的技术问题,包括规则挖掘算法、属性集的选择和精简、模糊数据挖掘等。最后深入讨论了入侵检测系统的自适应问题,并提出了相应的解决方法。     

人工智能在入侵检测系统中的应用

人工智能技术在滥用检测和异常检测中都起了重要作用。文章介绍了目前应用于入侵检测系统中的主要的人工智能技术即专家系统、人工神经网络、数据挖掘技术、人工免疫技术、自治Agent、数据融合等技术,可以相信入侵检测和人工智能的紧密结合必会极大地提高现有入侵检测系统的性能,同时促进更多人工智能算法的提出并应用于入侵检测这个新的领域。     

基于数据挖掘的Snort系统改进模型

针对Snort系统对新的入侵行为无能为力的缺点,设计了一种基于数据挖掘理论的Snort网络入侵检测系统的改进模型。该模型在Snort入侵检测系统的基础上增加了正常行为模式挖掘模块、异常检测引擎模块和新规则生成模块,使得系统具有从新的入侵行为中学习新规则和从正常数据中学习正常行为模式的双重能力。实验结果表明,新模型不仅能够有效地检测到新的入侵行为,降低了Snort系统的漏报率,而且提高了系统的检测效率。     

基于支持向量数据描述的异常检测方法

提出了一种基于支持向量数据描述算法的异常检测方法。该方法将入侵检测看作是一种单值分类问题，建立正常行为的支持向量描述模型，通过该模型可以检测各种已知和未知的攻击行为。该方法是一种无监督的异常检测方法，能够在包含噪声的数据集进行模型训练，降低了训练集的要求。在KDD CUP99标准入侵检测数据集上进行实验，并与无监督聚类异常检测实验结果相比较，证实该方法能够获得较高检测率和较低误警率。