基于異常分析的入侵檢測關(guān)鍵技術(shù)研究.pdf

1、隨著計算機(jī)網(wǎng)絡(luò)及技術(shù)的迅速發(fā)展,計算機(jī)入侵行為也逐年上升,這嚴(yán)重威脅了各種計算機(jī)系統(tǒng)的發(fā)展及應(yīng)用.網(wǎng)絡(luò)攻擊方法層出不窮,入侵手段也不斷更新,使得目前的防火墻等被動的網(wǎng)絡(luò)安全機(jī)制對許多攻擊難以檢測.入侵檢測技術(shù)作為一種主動防御技術(shù),彌補(bǔ)了傳統(tǒng)安全技術(shù)的不足,然而目前的研究還十分不夠. 本文對入侵檢測研究現(xiàn)狀進(jìn)行了總結(jié),對黑客攻擊的方法和技術(shù)進(jìn)行了歸納,對入侵檢測的主要技術(shù)、方法、體系結(jié)構(gòu)進(jìn)行了深入的分析,提出了入侵檢測技術(shù)面臨的問

2、題和研究發(fā)展趨勢,并對入侵檢測技術(shù)的幾個關(guān)鍵理論和方法進(jìn)行了研究及實驗. 本文的主要工作如下: 1.采用一致逼近和付氏變換對審計信息進(jìn)行分析,從結(jié)構(gòu)性數(shù)據(jù)集合中提取特征的有效方法,該方法將空間變換、函數(shù)逼近方法和濾波相結(jié)合,首先通過空間變換將被觀察的審計數(shù)據(jù)變換到另一個觀察空間,然后采用函數(shù)一致性逼近的方法來擬合審計數(shù)據(jù),最后采用濾波的方式提取重要的特征參數(shù)進(jìn)行比較. 2.從如何完善和改進(jìn)網(wǎng)絡(luò)入侵檢測系統(tǒng)的檢測規(guī)

3、則方面著眼,說明了噪聲環(huán)境下入侵行為的相似關(guān)系,建立了一個網(wǎng)絡(luò)入侵檢測系統(tǒng)的模糊規(guī)則學(xué)習(xí)模型.并以入侵檢測系統(tǒng)原有檢測特征為基礎(chǔ),創(chuàng)建了基于權(quán)重的模糊檢測方法. 同時提出了一個反饋誤差學(xué)習(xí)算法,用于對模糊檢測方法進(jìn)行改進(jìn)以求達(dá)到識別的最優(yōu).這種匹配模型可以應(yīng)用于所有基于特征數(shù)值的入侵檢測系統(tǒng). 3.提出一個免疫遺傳模型來重新構(gòu)造狀態(tài)轉(zhuǎn)移分析檢測方法.在該模型中使用了由狀態(tài)鏈和行為鏈組成的雙鏈基因模式來表示系統(tǒng)的狀態(tài)轉(zhuǎn)移,

4、并使用STAT 系統(tǒng)的原有檢測規(guī)則來構(gòu)造初始的專家DNA疫苗庫.該模型可以在大空間內(nèi)分布式有效地進(jìn)行入侵檢測規(guī)則的搜索. 4.基于靜態(tài)Markov模型的入侵檢測方法中不合理的假設(shè)影響了該模型的入侵檢測效果.為此提出了窗口Markov模型,又在該模型的基礎(chǔ)上引入了窗口模糊隸屬度.借助本文的模型可以從系統(tǒng)正常運(yùn)行情況下產(chǎn)生的事件中提取出一個簡便的預(yù)測模型,能有效地檢測出系統(tǒng)的異常運(yùn)行狀態(tài).同靜態(tài)Markov模型方法相比,用模糊窗口M

5、arkov模型可以一定程度上抵抗噪聲數(shù)據(jù)的干擾,具有更好的異常檢測性能. 5.從目的節(jié)點(diǎn)出發(fā),提出網(wǎng)絡(luò)可抽象為一個有源的場,場源是目的節(jié)點(diǎn),在某一節(jié)點(diǎn)上發(fā)送到目的節(jié)點(diǎn)的數(shù)據(jù)包頻度(一定時間內(nèi)的數(shù)據(jù)包總量)抽象為在此節(jié)點(diǎn)上場的散度.據(jù)此提出了防守聯(lián)盟協(xié)議,用于完善空間性審計信息以提高入侵檢測系統(tǒng)的性能,同時介紹了協(xié)議內(nèi)容、數(shù)據(jù)格式和協(xié)議的基本服務(wù)原語；防守聯(lián)盟協(xié)議包括目的節(jié)點(diǎn)和相鄰節(jié)點(diǎn)間的防守聯(lián)盟協(xié)議、以及目的節(jié)點(diǎn)和網(wǎng)管中心間的防