基于数据挖掘的入侵检测方法研究

文章提出了一种基于数据挖掘技术进行入侵检测的方法,它能有效地检测新型攻击以及已知攻击的变种,它研究了系统实现中的关键技术及其解决方法,包括数据挖掘算法技术、入侵检测技术以及数据预处理技术等.     

基于PCA与R-连续位匹配的亲和力改进算法

人工免疫算法中传统亲和力计算方法一般采用r-连续位匹配规则,但这种匹配规则不能有效识别已知入侵的变种,且编码长度直接影响入侵检测的效率.为提高检测率,在PCA特征提取的基础上,采用分段加权的思想改进亲和力算法.实验结果表明,改进的亲和力算法能有效提高入侵检测的检测率.     

孤立点挖掘在入侵检测中的应用研究

随着网络技术的迅速发展,入侵检测（Intrusion Detection,ID）是对网络入侵攻击行为的检测,是网络安全的核心技术之一。利用入侵检测技术,不但能检测到外部攻击,而且能检测到内部攻击或误操作。本文将数据挖掘中的孤立点挖掘应用到入侵检测系统中,用来识别变种的或未知的网络入侵行为,使得入侵检测系统具有可扩展性和实时性,提高入侵检测系统的检测能力。     

一种基于神经网络的入侵检测技术

应用神经网络技术不仅能识别已知的网络人侵行为,而且也能识别许多未知的网络入侵的变种.BP神经网络是一种成功的神经网络技术,然而,标准BP算法学习速率固定,不能根据实际情况动态改变学习速率.为了自适应当前网络学习的状况,提高网络的收敛速度,提出了一种基于综合增加动量项与自适应调节学习速率相结合的改进BP算法,可以满足入侵检测分类识别的需求.选用Kddcup 1999 Data网络连接数据集进行特征提取和预处理之后,送人神经网络进行训练和测试,得到较高的检测率和较低的误报率.实验表明,基于改进的BP神经网络的入侵检测方法是有效的.     

透析网络入侵检测系统

网络入侵检测系统主要是对入侵行为的检测识别。它通过安装入侵检测引擎,监视网络上的流量,捕获所有网络传输,把这些信息读入内存,由系统与已知的一些典型攻击性分组比较,从中有效的识别出所有网络活动中的已知攻击或可疑的网络行为,发现是否有违反安全策略的行为和被攻击的迹象。     

基于状态转换分析的多用户系统入侵检测模型

为了降低计算机入侵检测系统的漏报率和误报率,很多研究领域的成果被应用到入侵检测系统的研究中,例如专家系统、神经网络、数据挖掘等等。本文研究的基于状态转换分析的入侵检测模型,是一个基于专家系统的滥用检测模型。该模型着眼于入侵行为的各个步骤对系统安全状态造成的影响,利用直观的状态转换图构造规则库,可以较为准确地识别已知的入侵模式。     

模糊神经网络在入侵检测中的应用

目前绝大多数误用检测系统均不能检测已知攻击的变种 ,对未知攻击的检测也十分有限 ,而基于用户行为的异常检测系统对攻击检测的误报率太高 ,且不能发现攻击者通过慢慢改变其行为躲过检测的欺骗行为 .将模糊神经网络应用于入侵检测领域 ,并采用基于进程行为的检测方法 ,能有效的解决上述问题 ,较好地改进入侵检测系统的性能 ,降低漏报误报率 .     

基于场景和PN机的入侵检测研究

攻击者通过从一个攻击序列衍生出大量变种攻击序列来逃避基于规则及其它误用检测技术的检测.基于此,针对可序列化的入侵,从攻击机理入手,提取攻击的关键操作序列,构造入侵行为表达式,再对攻击序列进行拓扑排序和同构变换,以扩展形成一个入侵场景或一类入侵.进而提出了面向场景和检测一类入侵行为的方法,通过构建基于场景和检测一类入侵行为的PN(Petri Net)机来实现检测已知攻击及其未知变种攻击的目标.未知变种攻击也是一些新的攻击形态,因而从这种意义上说,该方法能检测到新的攻击行为.     

一种基于应用程序的入侵检测系统模型

入侵检测是当前网络安全领域研究的重要内容之一。本文分析了基于应用程序的入侵检测系统的重要性和优点,提出了一种针对应用程序的基于系统调用的入侵检测模型。该模型可以发现已知的和未知的滥用入侵和异常入侵活动,具有自学习、自完善功能。     

基于异常和特征的入侵检测系统模型

目前大多数入侵检测系统(Intrusion Detection System，IDS)没有兼备检测已知和未知入侵的能力，甚至不能检测已知入侵的微小变异，效率较低。本文提出了一种结合异常和特征检测技术的IDS。使用单一技术的IDS存在严重的缺点，为提高其效率，唯一的解决方案是两者的结合，即基于异常和特征的入侵检测。异常检测能发现未知入侵，而基于特征的检测能发现已知入侵，结合两者而成的基于异常和特征的入侵检测系统不但能检测已知和未知的入侵，而且能更新基于特征检测的数据库，因而具有很高的效率。     

一种基于反馈神经网络的异常检测方法

目前的入侵检测系统缺乏从先前所观察到的进攻进行概括并检测已知攻击的细微变化 的能力。描述了一种基于最小二乘估计(LS)模型的入侵检测算法,该算法利用神经网络的特点,具 有从先前观测到的行为进行概括进而判断将来可能发生的行为的能力。提出了一种在异常检测中用 反馈神经网络构建程序行为的特征轮廓的思想,给出了神经网络算法的选择和应用神经网络的设计 方案。实验表明在异常检测中利用反馈神经网络构建程序行为的特征轮廓,能够提高检测系统对偶 然事件和入侵变异的自适应性和异常检测的速度。     

一种基于Hopfield网络的异常检测方法

目前的入侵检测系统缺乏从先前所观察到的进攻进行概括并检测已知攻击的细微变化的能力。本文描述了一种基于最小二乘估计（LS）模型的入侵检测算法，该算法利用神经网络的特点，具有从先前观测到的行为追行概括进而判断将来可能发生的行为的能力。本文在前人工作的基础上提出了一种在异常检测中用反馈神经网络构建程序行为的特征轮廓的思想，给出了神经网络算法的选择和应用神经网络的设计方案。实验表明在异常检测中用反馈神经网络构建程序行为的特征轮廓，能够大大提高检测系统对偶然事件和入侵变异的自适应性和异常检测的速度。     

Using artificial anomalies to detect unknown and known network intrusions

Intrusion detection systems (IDSs) must be capable of detecting new and unknown attacks, or anomalies. We study the problem of building detection models for both pure anomaly detection and combined misuse and anomaly detection (i.e., detection of both known and unknown intrusions). We show the necessity of artificial anomalies by discussing the failure to use conventional inductive learning methods to detect anomalies. We propose an algorithm to generate artificial anomalies to coerce the inductive learner into discovering an accurate boundary between known classes (normal connections and known intrusions) and anomalies. Empirical studies show that our pure anomaly-detection model trained using normal and artificial anomalies is capable of detecting more than 77% of all unknown intrusion classes with more than 50% accuracy per intrusion class. The combined misuse and anomaly-detection models are as accurate as a pure misuse detection model in detecting known intrusions and are capable of detecting at least 50% of unknown intrusion classes with accuracy measurements between 75 and 100% per class.     

人工异常在入侵检测中的应用

异常检测由于自身的原因很难在商业入侵检测系统中得到应用。文中构造了入侵检测系统模型，并且给出了产生人工异常的算法，结果表明模型经过人工异常训练后，能够检测绝大多数系统未知的入侵类型。在检测已知入侵方面，模型也有不俗表现。     

异常检测方法综述

1 引言计算机联网技术的发展改变了以单机为主的计算模式,但是,网络入侵的风险性和机会也相应地急剧增多。设计安全措施来防范未经授权访问系统的资源和数据。是当前网络安全领域的一个十分重要而迫切的问题。目前,要想完全避免安全事件的发生并不太现实,网络安全人员所能做到的只能是尽力发现和察觉入侵及入侵企图,以便采取有效的措施来堵     

基于数据发掘的入侵检测建模

数据发掘是从大量数据中发掘出新的，有用模式的过程，把它用于入侵检测，可从审计数据中发掘系统活动特征的有用模式，指导训练数据的收集和特征的选择，建立活动分类机制，研究了基于DM入侵检测模型建立的过程和所用到的算法。     

一种基于协议分析的入侵检测模型的设计

本文在对TCP/IP协议以及各种网络入侵攻击进行深入分析研究的基础上,设计了一种基于协议分析的同时使用异常检测和误用检测技术的网络入侵检测模型,并给出了实现思想,其中重点介绍了利用协议分析思想对TCP数据包进行入侵检测的具体算法思想和数据结构。基于协议分析将异常检测和误用检测方法有效结合不仅可以检测到大多数已知的攻击类型,而且可以发现大量未知的攻击类型,提高检测的准确性和效率。     

基于数据挖掘的入侵检测系统研究

本文在深入研究数据挖掘、入侵检测技术的基础上,针对目前入侵检测系统存在的问题,构建了一个基于数据挖掘的入侵检测系统.该系统能检测已知和未知的入侵行为,可降低漏报和误报,提高入侵检测的精确性和速度,具有一定的自适应能力和可扩展性.     

Network intrusion detection in covariance feature space

Detecting multiple and various network intrusions is essential to maintain the reliability of network services. The problem of network intrusion detection can be regarded as a pattern recognition problem. Traditional detection approaches neglect the correlation information contained in groups of network traffic samples which leads to their failure to improve the detection effectiveness. This paper directly utilizes the covariance matrices of sequential samples to detect multiple network attacks. It constructs a covariance feature space where the correlation differences among sequential samples are evaluated. Two statistical supervised learning approaches are compared: a proposed threshold based detection approach and a traditional decision tree approach. Experimental results show that both achieve high performance in distinguishing multiple known attacks while the threshold based detection approach offers an advantage of identifying unknown attacks. It is also pointed out that utilizing statistical information in groups of samples, especially utilizing the covariance information, will benefit the detection effectiveness.