聚类算法在入侵检测中的应用

提出一种基于聚类分析的入侵检测模型,并运用聚类分析的K-平均值算法建立入侵检测库并划分安全级别。该检测系统不依赖预先定义的类和训练实例,能够自动依据输入数据对入侵行为进行重新划分。该方法具有一定的实用性和自适应功能。     

基于高维度数据单元划分算法的异常检测

文章借鉴CLIQUE聚类算法关于高维度数据空间单元划分的思想,将该思想引入到异常入侵检测中,并通过非均衡划分方法对该算法进行改进,力图建立一个对高维度入侵检测数据有效的异常检测模型。同时结合遗传算法,基于预定义的入侵检测数据集对高维度的入侵检测数据进行了数据维度约简的研究。     

基于数据挖掘的入侵检测系统设计

提出了一种建立入侵检测系统的方法，该方法基于数据挖掘技术，建成后的系统具有可扩展性、自适应性和准确性特点。对系统的关键技术进行了详细的阐述，包括数据预处理技术、数据挖掘算法、规则库建立和维护技术、入侵检测技术等。     

基于动态克隆选择的入侵检测及其搜索核特征的研究

建立了一种基于动态克隆选择的入侵检测模型，结合模糊理论和统计方法，设计了一种新的检测器编码方式，通过划分子库、改进检测方法等途径对负向选择算法的伸缩性问题进行了探讨。文章首次提出了通过人工免疫的方法搜索入侵检测核特征的概念，并探讨了用本研究建立的入侵检测模型从候选特征中搜索核特征的方法。     

一种基于Agent技术的入侵检测系统模型

本文首先指出了将Agent技术应用于入侵检测系统的优势,依据入侵检测系统的特点给出了主机的状态转换图,并提出了一个入侵检测模型,该模型的主机中有数据异常检测Agent、特征提取Agent、数据一致性检测Agent、完整性检测Agent以及日志处理,Agent通过学习机制建立行为库,对行为库里的信息进行推理获得入侵规则信息并将其加入到入侵规则库.最后用Aglet技术对该模型进行了仿真和实现,得出基于Agent的入侵检测技术具有较高的检测率及较低的误报率。     

基于静态分类器选择的网络入侵检测方法

计算机网络的安全在当今社会起着举足轻重的作用。该文将基于分类器选择的模式识别方法应用于入侵检测，提出了一种基于静态分类器选择的网络入侵检测方法。该方法对经过聚类获得的各个区域采用新的策略进一步划分，在划分后的子区域上选择分类器，结合了最近邻规则，减小静态分类器选择方法的误差，提高了检测性能。聚类选择(CS)是典型的静态分类器选择方法，在KDD’99的入侵检测数据集上的实验表明，该方法的性能优于基于聚类选择的网络入侵检测方法。     

基于数据挖掘和本体的实时入侵检测系统

通过分析现有入侵检测技术,提出了一种建立入侵检测系统的新方法。该方法结合误用检测技术和异常检测技术,利用数据挖掘能高效地从大量的审计数据中挖掘出代表行为特征的频繁模式和本体可以对对象的本质进行描述的特点,并加入相似度以判断是否发生入侵,同时决定是否更新规则本体库。经分析该系统可以有效地提高检测的效率。     

基于密度的异常挖掘智能网络入侵检测系统设计与实现

论文提出了基于密度的异常挖掘新方法,并将其应用于入侵检测系统引擎设计中,构建了相应的网络入侵检测系统。该系统通过挖掘异常数据的高效性,可及时发现新的未知入侵行为,用以更新入侵规则库。基于该规则库,系统采用BM模式匹配算法进行实时入侵检测。论文运用形式化语言对入侵检测系统各子模块进行结构化分析与描述。     

基于序列模式的异常检测

数据挖掘技术是目前国际上的研究热点，入侵检测作为一种主动的信息安全保障措施，有效地弥补了传统安全防护技术的缺陷。文中把数据挖掘中的序列模式方法应用于入侵检测系统，摒弃了以前入侵检测方法需要根据专家经验建立攻击模式库的不足，具有较强的灵活性，能检测出未知的攻击手段。为了比较用户在正常情况下所形成历史模式和从包含异常行为的检测数据中挖掘出的当前模式，文中还设计了相似度函数。最后给出了具体实验步骤，并针对9个Unix用户的实验结果证明了该方法的可行性。     

基于多标记学习改进算法的入侵检测系统研究

针对企业信息化系统存在的问题,分析了当前网络安全存在的误报和漏报现象,对海量信息分析代价大、无法预知安全策略内容、系统自身安全等方面问题作了探讨,设计并建立了基于多标记学习改进算法的入侵检测系统模型。该模型主要包括数据采集、数据预处理、算法检测及响应处理等模块。在设计好基于多标记学习改进算法的入侵检测系统后,将该系统部署到原有系统中,并检测入侵数据,数据检测监控界面显示入侵检测系统的检测结果。针对未处理的网络连接记录,系统管理员可通过手动方式判断其是否为攻击行为;而对于异常的数据,系统会将此类型的攻击行为添加到样本库中。算法在适当的时间通过新的样本库来完善分类器。该模型在不改变原有信息化系统工作的基础上,实现了入侵检测系统的应用。     

入侵检测中的OCSVM方法综述

通常,在入侵检测的研究中把入侵行为看成是一个二分类问题,即正常和异常,这就需要一个被完全标记为正常和异常的训练数据集.而在实际应用中,很难找到这样的数据集,并且对于一些新的没有标记过的入侵行为,传统的入侵检测方法不能检测出来.而基于OCSVM的入侵检测不需要任何标记数据,并且能够从未标记的数据集中发现异常.     

SVM-DT-Based Adaptive and Collaborative Intrusion Detection

As a primary defense technique, intrusion detection becomes more and more significant since the security of the networks is one of the most critical issues in the world. We present an adaptive collaboration intrusion detection method to improve the safety of a network. A self-adaptive and collaborative intrusion detection model is built by applying the Environmentsclasses, agents, roles, groups, and objects (E-CARGO) model. The objects, roles, agents, and groups are designed by using decision trees (DTs) and support vector machines (SVMs), and adaptive scheduling mechanisms are set up. The KDD CUP 1999 data set is used to verify the effectiveness of the method. The experimental results demonstrate the feasibility and efficiency of the proposed collaborative and adaptive intrusion detection method. Also, the proposed method is shown to be more predominant than the methods that use a set of single type support vector machine (SVM) in terms of detection precision rate and recall rate.      

基于Focal Loss和卷积神经网络的入侵检测

入侵检测是信息安全防护领域中的一个重要环节。随着网络技术的发展,主动防御网络入侵变得越来越重要,同时入侵数据变得更加海量、复杂和不平衡,这导致传统的入侵检测技术的检测性能比较低,因此如何提高入侵检测系统的性能对于不平衡数据集的检测性能是一项巨大的挑战。传统的CNN模型对于处理复杂的数据具有很好的性能,但是在处理不平衡数据集上的效果不是很好。为了解决这个问题,提出一种基于Focal Loss和卷积神经网络的入侵检测方法。与传统的卷积神经网络不同,该模型利用Focal Loss损失函数来解决数据不平衡问题,并在卷积层加入正则化方法（DropBlock）用来提高模型的泛化能力。采用KDD 99数据集进行的实验表明,该模型入侵检测的准确率和精确率比传统的入侵检测模型有所提高。     

Probabilistic techniques for intrusion detection based on computeraudit data

This paper presents a series of studies on probabilistic properties of activity data in an information system for detecting intrusions into the information system. Various probabilistic techniques of intrusion detection, including decision tree, Hotelling's T² test, chi-square multivariate test, and Markov chain are applied to the same training set and the same testing set of computer audit data for investigating the frequency property and the ordering property of computer audit data. The results of these studies provide answers to several questions concerning which properties are critical to intrusion detection. First, our studies show that the frequency property of multiple audit event types in a sequence of events is necessary for intrusion detection. A single audit event at a given time is not sufficient for intrusion detection. Second, the ordering property of multiple audit events provides additional advantage to the frequency property for intrusion detection. However, unless the scalability problem of complex data models taking into account the ordering property of activity data is solved, intrusion detection techniques based on the frequency property provide a viable solution that produces good intrusion detection performance with low computational overhead     

基于改进白名单过滤的跨网入侵检测仿真

为了有效提升传统入侵检测方法的检测效率,提出基于改进白名单过滤的跨网入侵检测方法。首先,组建有效的数据存储结构,设定相应的白名单规则及配置对报文数据进行初次过滤;然后,采用神经网络对白名单规则进行完善,将训练学习结果输入到过滤器中,二次过滤不符合白名单规则的报文数据;提高跨网异常通信检测率。最后,以粒子群优化算法为基础,引入自适应变异过程优化BP神经网络训练参数,避免BP神经网络训练学习结果陷入局部最优,保证检测结果的有效性。实验结果表明,与传统方法相比,所提方法的检测效率有很大程度的提升。     

基于直觉模糊集理论的IDS方法研究

入侵检测是网络系统安全维护过程中的有效方法之一,主要指通过对网络系统中的各种数据进行收集、分析,进而发现其中存在的可能对系统安全构成威胁的入侵攻击行为,并迅速作出响应的过程。但由于网络空间中的攻击形式多样,具有许多未知和不确定性,因此如何对其中的不确定性进行描述并采取相应的措施成为了构建入侵检测模型的重要一环。直觉模糊理论就是一种针对系统中存在的不确定性问题进行研究的理论。因此,通过对基于直觉模糊集理论的入侵检测方法进行深入研究发现,其 对于处理入侵检测系统中大量不确定性问题具有重要的作用和意义。文中对现有文献中3种典型的基于直觉模糊集理论的入侵检测方法进行了相对全面的分析介绍,并进行了适当的对比总结,指出了目前各种方法仍存在的不足 和未来的研究方向,这对其进一步的发展具有一定的参考价值。     

基于特征选取和样本选择的网络入侵检测

为了获得更加理想的网络入侵检测结果, 针对网络入侵特征选取和样本选择问题, 提出一种基于特征选取和样本选择的网络入侵检测模型. 首先提取网络入侵特征, 并进行归一化处理, 然后采用核主成分分析选择入侵特征, 并对样本进行选择, 最后采用极限学习机建立网络入侵检测分类器, 并采用KDD Cup99数据集进行仿真实验. 仿真结果表明, 本文模型得到了理想的网络入侵检测结果, 检测率超过95%以上, 入侵检测效率可以满足网络安全实际应用要求.     

采用压缩近邻法的高效入侵检测模型*

针对入侵检测中的实时性问题,提出了一种采用压缩近邻法的高效入侵检测模型。该模型能够用于精简训练集,从而加快入侵检测系统的训练及检测速度,提高了系统的实时性。为了对该模型的训练集精简效果和检测性能进行验证,采用著名的KDD CUP99公用数据集进行实验,并对比了该方法和其他入侵检测方法的检测效果和检测时间。结果表明,该模型能够在大幅降低训练集大小的情况下,提升入侵检测的实时性,并保持较好的检测效果,是一种高效的入侵检测模型。     

基于GAN-PSO-ELM的网络入侵检测方法

针对传统机器学习方法在处理非平衡的海量入侵数据时少数类检测率低的问题，提出一种融合生成式对抗网络（GAN）、粒子群算法（PSO）和极限学习机（ELM）的入侵检测（GAN-PSO-ELM）方法。对原始网络数据进行预处理，利用GAN并采用整体类扩充的方式对数据集进行少数类样本扩充。在扩充后的平衡数据集上，利用PSO算法优化ELM的输入权重与隐含层偏置，并建立入侵检测模型。在NSL-KDD数据集上进行仿真实验。实验结果表明，与SVM、ELM、PSO-ELM方法相比，GAN-PSO-ELM不仅具有较高的检测效率，而且在整体检测准确率上平均提高了3.74%，在少数类R2L和U2R上分别平均提高了28.13%和16.84%。