入侵檢測中的數(shù)據(jù)集生成和使用技術(shù)研究.pdf

1、基于數(shù)據(jù)挖掘的入侵檢測技術(shù)是當(dāng)前網(wǎng)絡(luò)安全研究的一個熱點.基于數(shù)據(jù)挖掘的入侵檢測系統(tǒng)面臨的很重要的問題就是如何生成和使用數(shù)據(jù)集,即如何生成和使用訓(xùn)練數(shù)據(jù)集和測試數(shù)據(jù)集.在基于數(shù)據(jù)挖掘的入侵檢測系統(tǒng)中,其特征模式庫是通過對訓(xùn)練數(shù)據(jù)集進(jìn)行數(shù)據(jù)挖掘建立起來的.訓(xùn)練數(shù)據(jù)集質(zhì)量的高低直接影響特征模式庫的質(zhì)量,從而影響入侵檢測系統(tǒng)的檢測效果.準(zhǔn)確地評測一個入侵檢測系統(tǒng)對使用者和開發(fā)者都是很有意義的,它可以提供使用者一個選擇入侵檢測系統(tǒng)的標(biāo)準(zhǔn);也可以作

2、為開發(fā)者輔助開發(fā)和調(diào)試的工具.一個良好的測試數(shù)據(jù)集對于系統(tǒng)評測的影響是不言而喻的.但是由于具體環(huán)境和各個開發(fā)系統(tǒng)的巨大差異,目前這兩個方面的研究都還只是初步性的,沒有形成行業(yè)規(guī)范.網(wǎng)絡(luò)中的流量數(shù)據(jù)被分為正常數(shù)據(jù)和攻擊數(shù)據(jù)兩個部分.首先假定一個正常網(wǎng)絡(luò)中的流量數(shù)據(jù)是正常數(shù)據(jù),對它們進(jìn)行截獲以作為正常數(shù)據(jù);然后按照一定的方法模擬攻擊行為,生成攻擊數(shù)據(jù);接著按照一定的比例混合構(gòu)成混合數(shù)據(jù).數(shù)據(jù)集生成以后再根據(jù)具體使用的入侵檢測算法確定數(shù)據(jù)屬性

3、項,以轉(zhuǎn)換成格式化的記錄數(shù)據(jù).按一定的比例和方法選取數(shù)據(jù)集中適當(dāng)?shù)臄?shù)據(jù)項作訓(xùn)練數(shù)據(jù)集,并對其進(jìn)行優(yōu)化,去除噪音和非典型數(shù)據(jù).優(yōu)化方法采用的是k-NN的改近算法k-NN for IDS.這樣生成的訓(xùn)練數(shù)據(jù)集可以隨時添加新的數(shù)據(jù)量,易于擴(kuò)充,并且能較好的接近現(xiàn)實環(huán)境.測試數(shù)據(jù)集的生成基本和訓(xùn)練數(shù)據(jù)集的生成方法相同,但其數(shù)據(jù)項可以直接從混合數(shù)據(jù)中選取而得到.由于具體網(wǎng)絡(luò)環(huán)境等的限制,很多攻擊可能很難在具體的網(wǎng)絡(luò)中實現(xiàn).分段混合評測根據(jù)不同階段