基于關(guān)聯(lián)規(guī)則挖掘算法的入侵檢測研究.pdf

1、隨著互聯(lián)網(wǎng)的普及及網(wǎng)絡(luò)技術(shù)的日新月異,黑客入侵日益猖撅,對網(wǎng)絡(luò)的各類攻擊與破壞也與日俱增。每年有眾多的個人、企業(yè)甚至國家由于計算機網(wǎng)絡(luò)系統(tǒng)被破壞而遭受重大的經(jīng)濟損失,計算機網(wǎng)絡(luò)安全問題已經(jīng)成為全球共同關(guān)注的問題。為了有效地提高網(wǎng)絡(luò)系統(tǒng)的安全性,提高入侵檢測系統(tǒng)的性能,本文把數(shù)據(jù)挖掘技術(shù)應(yīng)用于網(wǎng)絡(luò)入侵檢測系統(tǒng),對網(wǎng)絡(luò)數(shù)據(jù)分析采取數(shù)據(jù)挖掘中的關(guān)聯(lián)規(guī)則算法,提出了一種IAID(Intrusion Detection System Base o

2、n the improved Apriori Algorithm基于改進Apriori算法的網(wǎng)絡(luò)入侵檢測系統(tǒng))模型。本文的主要內(nèi)容有如下三個方面:
　　首先,對數(shù)據(jù)挖掘的概念、過程及功能等方面作了全面介紹,并對數(shù)據(jù)挖掘關(guān)聯(lián)規(guī)則算法中的兩種經(jīng)典算法—Apriori算法和FP-Growth算法從思想、過程進行詳細描述后,通過兩算法的應(yīng)用舉例來分析比較它們的優(yōu)缺點,接著對經(jīng)典的Apriori算法進行了改進,詳細說明了改進Apriori算

3、法的改進過程、代碼設(shè)計和應(yīng)用。
　　其次,詳細闡述了入侵檢測概念、功能和分類等相關(guān)知識,并在入侵檢測系統(tǒng)設(shè)計原理的基礎(chǔ)上,對現(xiàn)有的通用入侵檢測框架CIDF(Common Intrusion Detection Framework)進行分析得出:原始數(shù)據(jù)的收集和采集通過CIDF中的事件產(chǎn)生器來實現(xiàn),關(guān)聯(lián)規(guī)則分析通過事件分析器和事件數(shù)據(jù)庫來實現(xiàn),對各種正常、入侵和未知行為的響應(yīng)則需要響應(yīng)單元來實現(xiàn);在對原框架不斷擴充之后,分別從系統(tǒng)結(jié)

4、構(gòu)和功能模塊兩方面設(shè)計了基于關(guān)聯(lián)規(guī)則挖掘的入侵檢測模型;并對各模塊的實現(xiàn)過程進行了詳細說明,為IAID模型的設(shè)計及實現(xiàn)奠定了堅實的基礎(chǔ)。
　　最后,在上述研究的基礎(chǔ)上,提出了IAID(基于改進Apriori算法的網(wǎng)絡(luò)入侵檢測系統(tǒng))模型,對該模型的五大主要模塊—網(wǎng)絡(luò)數(shù)據(jù)采集模塊、網(wǎng)絡(luò)數(shù)據(jù)預(yù)處理模塊、改進的Apriori算法挖掘模塊、模式匹配模塊和預(yù)警響應(yīng)模塊進行了具體描述。網(wǎng)絡(luò)數(shù)據(jù)采集模塊的數(shù)據(jù)來源于局域網(wǎng)及廣域網(wǎng)的網(wǎng)絡(luò)數(shù)據(jù)包,采集

5、工具為網(wǎng)絡(luò)監(jiān)聽工具sniffer;網(wǎng)絡(luò)數(shù)據(jù)預(yù)處理模塊對截獲的數(shù)據(jù)依次進行協(xié)議分析、數(shù)據(jù)清理、數(shù)據(jù)簡化等操作;模式匹配模塊采用BM(Boyer-Moore)單模式匹配算法;報警響應(yīng)模塊則采用了自動和被動相結(jié)合的響應(yīng)方式;重點是對改進的Apriori算法挖掘模塊中正常行為和入侵行為模式庫的建立過程進行闡述:構(gòu)建正常行為模式庫的訓(xùn)練數(shù)據(jù)由sniffer工具截獲實驗室網(wǎng)絡(luò)的數(shù)據(jù)獲得,構(gòu)建入侵行為模式庫的訓(xùn)練數(shù)據(jù)則采用KDD Cup1999中的入