基于信息論的入侵檢測(cè)模型優(yōu)化及評(píng)估方法.pdf

1、入侵檢測(cè)技術(shù)越來越成為信息安全系統(tǒng)中不可缺少的技術(shù)。入侵檢測(cè)技術(shù)的研究也是近些年信息安全研究領(lǐng)域的一個(gè)熱點(diǎn)，但在審計(jì)數(shù)據(jù)的分類處理、模型的選擇、入侵檢測(cè)系統(tǒng)的評(píng)估等方面還沒有一套相對(duì)成熟的數(shù)學(xué)理論。信息論在處理信源，信道方面已經(jīng)有了成熟的理論和方法，有些信息論的方法可以借鑒并用于描述審計(jì)數(shù)據(jù)的規(guī)律性，指導(dǎo)檢測(cè)模型的建立和評(píng)估檢測(cè)效果。本文將借鑒信息論在處理相關(guān)問題時(shí)的方法，基于信息論與入侵檢測(cè)的結(jié)合點(diǎn)，改進(jìn)并創(chuàng)新地用于計(jì)算機(jī)入侵檢測(cè)模型

2、的優(yōu)化以及評(píng)估方面，主要研究內(nèi)容如下：
　　 1.針對(duì)高效的入侵檢測(cè)技術(shù)審計(jì)數(shù)據(jù)特征提取、數(shù)據(jù)壓縮及評(píng)估問題，通過對(duì)入侵檢測(cè)收集的審計(jì)數(shù)據(jù)的分析，用信息熵對(duì)原始的數(shù)據(jù)集進(jìn)行初步評(píng)估。然后，對(duì)數(shù)據(jù)集進(jìn)行數(shù)據(jù)壓縮，其中對(duì)訓(xùn)練模型的數(shù)據(jù)進(jìn)行壓縮處理應(yīng)遵循數(shù)據(jù)處理不等式。最后，計(jì)算壓縮后數(shù)據(jù)集的信息冗余度，對(duì)比評(píng)估經(jīng)不同方法壓縮的數(shù)據(jù)冗余度，選擇較好的數(shù)據(jù)源。實(shí)驗(yàn)結(jié)果表明：原始數(shù)據(jù)進(jìn)行的特征提取等處理次數(shù)越少，得到的處理后的數(shù)據(jù)丟失信息

3、越少。對(duì)同一數(shù)據(jù)集用不同方法處理后，得到的新數(shù)據(jù)集的冗余度越大，則新數(shù)據(jù)集的實(shí)際信息熵越小，數(shù)據(jù)之間的依賴關(guān)系越強(qiáng)；冗余度越小.則檢測(cè)傳輸效率越好，對(duì)比選擇適中的冗余度有利于后期的入侵檢測(cè)研究。
　　 2.在入侵檢測(cè)系統(tǒng)中如何基于給定的訓(xùn)練數(shù)據(jù)選擇較好的異常檢測(cè)模型？文中使用相對(duì)熵密度偏差作為模型之間差異的度量。通過分析模型的分布與訓(xùn)練數(shù)據(jù)真實(shí)分布的差異，根據(jù)原數(shù)據(jù)本身的相依關(guān)系，使用較少的數(shù)據(jù)選擇出較好的適用的檢測(cè)模型。實(shí)驗(yàn)結(jié)

4、果證明：針對(duì)所給的數(shù)據(jù)，隱馬氏模型要好于馬氏鏈模型。
　　 3.目前，入侵檢測(cè)系統(tǒng)的漏報(bào)率和誤報(bào)率高一直是困擾用戶的主要問題，而入侵檢測(cè)系統(tǒng)主要有誤用型和異常型兩種檢測(cè)技術(shù)，根據(jù)這兩種檢測(cè)技術(shù)各自的優(yōu)勢(shì)，將兩種檢測(cè)技術(shù)結(jié)合起來的方案越來越多地應(yīng)用于入侵檢測(cè)系統(tǒng)。通過引入入侵檢測(cè)能力度量函數(shù)，從理論上深刻解釋了系統(tǒng)協(xié)作的必然性，提出了異常檢測(cè)技術(shù)和誤用檢測(cè)技術(shù)相結(jié)合的入侵檢測(cè)系統(tǒng)模型及其評(píng)估方法，減少了單獨(dú)使用某種入侵檢測(cè)技術(shù)時(shí)的