入侵檢測(cè)中的數(shù)據(jù)集生成和使用技術(shù)研究.pdf

1、基于數(shù)據(jù)挖掘的入侵檢測(cè)技術(shù)是當(dāng)前網(wǎng)絡(luò)安全研究的一個(gè)熱點(diǎn).基于數(shù)據(jù)挖掘的入侵檢測(cè)系統(tǒng)面臨的很重要的問(wèn)題就是如何生成和使用數(shù)據(jù)集,即如何生成和使用訓(xùn)練數(shù)據(jù)集和測(cè)試數(shù)據(jù)集.在基于數(shù)據(jù)挖掘的入侵檢測(cè)系統(tǒng)中,其特征模式庫(kù)是通過(guò)對(duì)訓(xùn)練數(shù)據(jù)集進(jìn)行數(shù)據(jù)挖掘建立起來(lái)的.訓(xùn)練數(shù)據(jù)集質(zhì)量的高低直接影響特征模式庫(kù)的質(zhì)量,從而影響入侵檢測(cè)系統(tǒng)的檢測(cè)效果.準(zhǔn)確地評(píng)測(cè)一個(gè)入侵檢測(cè)系統(tǒng)對(duì)使用者和開發(fā)者都是很有意義的,它可以提供使用者一個(gè)選擇入侵檢測(cè)系統(tǒng)的標(biāo)準(zhǔn);也可以作

2、為開發(fā)者輔助開發(fā)和調(diào)試的工具.一個(gè)良好的測(cè)試數(shù)據(jù)集對(duì)于系統(tǒng)評(píng)測(cè)的影響是不言而喻的.但是由于具體環(huán)境和各個(gè)開發(fā)系統(tǒng)的巨大差異,目前這兩個(gè)方面的研究都還只是初步性的,沒(méi)有形成行業(yè)規(guī)范.網(wǎng)絡(luò)中的流量數(shù)據(jù)被分為正常數(shù)據(jù)和攻擊數(shù)據(jù)兩個(gè)部分.首先假定一個(gè)正常網(wǎng)絡(luò)中的流量數(shù)據(jù)是正常數(shù)據(jù),對(duì)它們進(jìn)行截獲以作為正常數(shù)據(jù);然后按照一定的方法模擬攻擊行為,生成攻擊數(shù)據(jù);接著按照一定的比例混合構(gòu)成混合數(shù)據(jù).數(shù)據(jù)集生成以后再根據(jù)具體使用的入侵檢測(cè)算法確定數(shù)據(jù)屬性

3、項(xiàng),以轉(zhuǎn)換成格式化的記錄數(shù)據(jù).按一定的比例和方法選取數(shù)據(jù)集中適當(dāng)?shù)臄?shù)據(jù)項(xiàng)作訓(xùn)練數(shù)據(jù)集,并對(duì)其進(jìn)行優(yōu)化,去除噪音和非典型數(shù)據(jù).優(yōu)化方法采用的是k-NN的改近算法k-NN for IDS.這樣生成的訓(xùn)練數(shù)據(jù)集可以隨時(shí)添加新的數(shù)據(jù)量,易于擴(kuò)充,并且能較好的接近現(xiàn)實(shí)環(huán)境.測(cè)試數(shù)據(jù)集的生成基本和訓(xùn)練數(shù)據(jù)集的生成方法相同,但其數(shù)據(jù)項(xiàng)可以直接從混合數(shù)據(jù)中選取而得到.由于具體網(wǎng)絡(luò)環(huán)境等的限制,很多攻擊可能很難在具體的網(wǎng)絡(luò)中實(shí)現(xiàn).分段混合評(píng)測(cè)根據(jù)不同階段