浅析入侵检测系统存在问题及发展趋势

入侵检测（Intrusion Detection,ID）是对入侵行为的检测,即对企图入侵、正在进行的入侵或者已经发生的入侵进行识别的过程。入侵检测能够对于面向计算机和网络资源的恶意行为的识别和响应,它不仅能够检测来自外部的入侵行为,同时也能检测倒内部用户的入侵活动。自1980年提出入侵检测概念起,入侵检测系统逐步在实际中得到了较为广泛的应用,但仍有一些问题有待进一步解决。     

纵深防御是根本

不管是IPS还是IDS,都离不开对入侵检测技术的研究,网络安全行业对入侵行为进行检测的技术积累将永不停息,只要有黑客行为存在,入侵检测技术就会不断发展、不断进步。 入侵检测的实现重点在于检测知识库和检测方法,这两方面的研究,IDS和IPS产品厂商都不能省去。没有所谓的一劳永逸的检测方法,即使目前市场上很多公司所宣称的智能入侵检测方法,也不能保证全部的入侵攻击行为被检测到。     

一种基于网络行为的入侵检测方法

目前,入侵检测系统Snort还没有好的方法来检测和分析网络行为。文章通过对网络入侵检测流程的分析,基于网络的入侵攻击行为特征,构建出一种攻击树,按照攻击树的方法对数据流进行行为匹配,检测出入侵攻击行为。实验证明,这一基于网络行为匹配的入侵检测方法,大大提高了Snort的入侵检测能力。     

基于核Fisher判别分析的无线传感器网络入侵检测算法

无线传感器网络能量有限、计算能力有限,传统网络中的入侵检测方法不适用于无线传感器网络。提出了一种基于核Fisher判别分析的无线传感器网络入侵检测算法,利用核Fisher判别分析对比传感器节点数据和已建立的入侵行为特征来判断是否存在入侵行为。理论分析和仿真实验表明,该方法能有效的检测入侵行为,并且具有低能耗、计算量小的特点,适用于计算能力有限、能量紧缺的无线传感器网络入侵检测。     

基于混合随机边缘计算的工控入侵检测系统设计

针对传统工控入侵检测系统缺少对边缘入侵信号段的研究,无法及时检测到边缘入侵行为,导致系统入侵潜伏期过长、威胁工控系统网络安全的问题,提出了基于混合随机边缘计算的工控入侵检测系统设计;使用中央服务器处理并发送告警信息,形成统一的告警日志;选择JY211-QTQ-04型号光缆探测器,实时显示信号强度;通过高速网络I/O架构Netmap网络流量采集器采集流量信息,再由TCP/IP协议下的数据预处理器处理数据,利用入侵检测引擎检测入侵行为;构建入侵检测动态模型,结合混合随机边缘算法,确定待检测段的最高能量和信噪比,通过检测到的入侵信号段,判断入侵行为;由实验结果可知,该系统在异常入侵情况下,能够及时发现入侵行为,在入侵时间为7 s时,潜伏期达到最长为2.4 s,与实际入侵后潜伏期变化一致,能够精准检测工控入侵行为。     

基于大数据分析技术的互联网非法入侵行为智能检测

为了获得理想的互联网非法入侵行为智能检测结果,提出了基于大数据分析技术的互联网非法入侵行为智能检测模型。该模型采用蚁群算法优化最小二乘支持向量机描述互联网非法入侵行为变化特点,采用大数据分析技术并行实现互联网非法入侵行为智能检测。仿真对比实验结果表明,所提模型的互联网非法入侵行为智能检测正确率和检测效率高,相对于其它模型具有明显的优越性。     

基于数据挖掘的Snort系统改进模型

针对Snort系统对新的入侵行为无能为力的缺点,设计了一种基于数据挖掘理论的Snort网络入侵检测系统的改进模型。该模型在Snort入侵检测系统的基础上增加了正常行为模式挖掘模块、异常检测引擎模块和新规则生成模块,使得系统具有从新的入侵行为中学习新规则和从正常数据中学习正常行为模式的双重能力。实验结果表明,新模型不仅能够有效地检测到新的入侵行为,降低了Snort系统的漏报率,而且提高了系统的检测效率。     

基于数据挖掘的网络入侵检测系统设计与实现

设计了一个基于数据挖掘技术的网络入侵检测系统模型。该模型在Snort入侵检测系统的基础上,利用数据挖掘技术增加了聚类分析模块、异常检测引擎和关联分析器。该系统不仅能够有效地检测到新的入侵行为,而且能提升检测的速度,在达到实时性要求的同时,解决了一般网络入侵检测系统对新的入侵行为无能为力的问题。     

防火墙与入侵检测联动的研究与设计

目前,网络攻击和入侵行为日趋复杂,单一的防御技术已经无法有效地保护网络。介绍防火墙、入侵检测技术的概念．设计一种防火墙和入侵检测系统联动的模型。使系统既能检测入侵行为,又能实时阻断攻击,从而达到提升系统整体防御能力的目的。     

数据挖掘在网络入侵检测中的运用

入侵检测是网络安全技术领域的主要研究方向之一。将数据挖掘技术应用到入侵检测系统中,可以减少手工编写入侵行为模式和正常行为模式的工作量。该文从介绍网络安全技术和入侵检测技术入手,分析了基于数据挖掘的入侵监测技术的特点及其应用。     

可进化的入侵检测系统的模糊分类器研究

由于计算机网络中的正常行为和异常行为难以很好界定,所以许多入侵检测系统经常产生误报警。使用模糊逻辑推理方法,入侵检测系统的误报率则会明显降低,可以在入侵检测系统中,使用一套模糊规则和作用在该集合上的模糊推理算法,来判断是否发生了入侵事件。这种方法面临的主要问题是要有一个针对入侵检测的好的模糊算法。该文提出了一种使用遗传算法产生模糊分类器,以检测误用和入侵事件。主要思想是生成两个进化规则子集合,一个用于描述正常行为,一个用于描述异常行为。其中,正常行为规则进化信息来自正常使用时的操作行为,异常行为规则进化信息来自计算机网络受到入侵时的操作行为。     

数据挖掘技术在入侵检测系统中的应用

入侵检测系统是一种检测网络入侵行为的工具,然而现在的入侵检测系统内部的知识库中的入侵模式（正常模式和异常模式）往往不能很好地反应入侵行为的特征,所以有时候经常出现漏报或误报的情况,另外,系统提了的用户行为特征有时候也不能正确地反映用户的实际行为特征,针对这一情况,详细讨论了数据挖掘技术在入侵检测系统中的应用,提出了采用数据挖掘技术的入侵检测系统的结构模型。     

基于数据挖掘算法的网络入侵检测系统研究

回顾了当前入侵检测技术和数据挖掘技术,分析了Snort网络入侵检测系统存在的问题,重点研究了数据挖掘中的关联算法Apriori算法和聚类算法K一均值算法;在Snort入侵检测系统的基础上,增加了正常行为挖掘模块、异常检测模块和新规则生成模块,构建了基于数据挖掘技术的网络入侵检测系统模型。新模型能够有效地检测新的入侵行为,而且提高了系统的检测效率。     

一种基于数据挖掘技术的入侵检测模型

针对传统入侵检测规则手工定制的弊端和可扩展性差、适应性差等缺点,设计一种基于数据挖掘技术的可行入侵检测系统模型。模型中引入数据挖掘技术使其能得到计算机系统入侵行为和正常行为,并利用异常检测和误用检测的各自优势,引入混合入侵检测引擎模块。经分析,该检测模型比传统的检测模型有着明显的优势。     

主动出击胜过亡羊补牢

恶意入侵行为和病毒、蠕虫传播是危害信息安全的重要威胁。针对入侵行为的防范,过去重点在于检测,也就是采用入侵检测系统(IDS),并且寄希望于入侵检测系统和防火墙联动实现对入侵的主动切断,在检测的同时起到防御的效果。但是由于技术原因这样的联动还不能实现很好的效果,由此就诞生了专门的入侵防御系统(IPS)。     

数据挖掘在网络入侵检测中的运用

入侵检测是网络安全技术领域的主要研究方向之一。将数据挖掘技术应用到入侵检测系统中．可以减少手工编写入侵行为模式和正常行为模式的工作量。该文从介绍网络安全技术和入侵检测技术入手,分析了基于数据挖掘的入侵监测技术的特点及其应用。     

信息安全入侵检测系统进展研究

网络入侵技术是指某种对某种网络资源的完整性、机密性和可用性进行破坏的活动。入侵检测系统是指针对入侵行为的响应、发现和报警,通过采集计算机系统或计算机网络的若干信息的关键点,并对采集的信息进行分析和处理,从而判别系统或网络中是否有系统被攻击的征兆和违反安全策略的行为。入侵检测的目的是发现系统外部入侵者非法使用和内部人员滥用计算机,本文着重阐述入侵检测系统定义、入侵检测系统的新特性、入侵技术的发展和演化、入侵检测技术的发展方向。     

专家系统与神经网络在入侵检测中的应用

针对由于网络服务不断扩大造成的入侵行为日益复杂多样的情况,对专家系统和神经网络技术在入侵检测中的运用进行了研究,主要讨论了专家系统和神经网络技术在入侵监测的规则管理和入侵行为分类方面的应用,同时给出了入侵检测实践。结果证明,专家系统和神经网络技术的结合能够提高入侵监测系统发现入侵的实时性和检测入侵的正确性。     

PU学习技术在Web入侵检测中的应用研究

传统Web入侵检测技术存在泛化能力差、入侵行为特征提取难等局限性，而且当存在大量无标记样本时检测能力较差；PU学习方法可以充分利用大量无标注样本完成Web入侵检测。本文从分析入侵行为及提取Web入侵行为的特征出发，提出一种基于PU学习的Web入侵检测方法，能够在标注样本少、存在大量无标记样本的情况下，有效地提高Web入侵检测能力。     

基于HMM和STIDE的异常入侵检测方法

入侵检测是对正在发生或已经发生的入侵行为的一种识别过程。异常检测是入侵检测的主要分析方法之一。该文在传统的使用单一入侵检测算法的基础上,提出一种基于HMM和STIDE复合算法的异常入侵检测方法。HMM和STIDE复合算法被用来区分未知的行为是合法操作还是一次入侵。实验证明该方法具有低虚警率和高检测率。