基于聚类分析的数据库入侵检测框架和其应用.pdfVIP

基于聚类分析的数据库入侵检测框架及其应用 陈怀1楼永坚1 (1杭州电子科技大学计算机学院浙江杭州310018) 摘要：针对现存数据库入侵检测研究需要纯训练集，本文提出～个基于聚类分析的数据库入侵检测框架，定义了数据库查询 的表示方法及其相似度计算方法，研究了框架实现的三个核心算法。算法根据距离函数对原始审计数据进行聚类，并对每个 聚类进行标记，利用异常检测引擎对实时查询进行检测。通过实验给出了对合法用户攻击的检测率和误报率，并分析了影响 因素。 关键词：数据库安全；数据挖掘；入侵检测 中图分类号：TP393 文献标识码：A 文章编号： 0引言 与操作系统安全、网络安全相比，数据库安全有其独特之处。传统的数据库安全机制以身份认证和存 取控制为重点，随着计算机网络化的发展，已无法满足日益增长的对数据库安全的需要。因此针对数据库 系统的入侵检测机制的研究是很有必要的Il】：其一，对数据库应用来说是恶意的行为，对网络或者操作系 统来说并不一定是恶意的。因此，基于网络或者主机的入侵检测机制对数据库保护不是有效的。其二，基 于主机或者网络的入侵检测机制不能够检测出数据库受到的来自内部的威胁，这种威胁是更难防卫的，因 为他们来自系统的合法用户，有权限访问数据和资源。 常同时被查询的数据项作为用户轮廓来识别异常查询。Lee等使用合法事务SQL语句的正则表达式(“指 印”)来代表正常用户的行为【4J，该方法易产生过多的“指印”且只对某些特定的入侵如SQL注入才有效。 Yi等通过数据项中的依赖关系来检测恶意事纠51，该方法只能应用于恶意事务的检测中，应用范围较窄。 而且以上这些方法都假定获得的审计数据是干净的，而由于数据库操作的复杂性，往往很难获得理想的训 练数据。聚类分析是一种常见的数据挖掘技术，本文结合聚类分析的特征提出了一种数据库入侵检测框架， 并研究了框架中的关键算法。 1相关术语 F(R)={t 量或简单函数，由表示逻辑运算符由∈{，八，V}，[】表示任选项，…表示上述格式可以重复下去；投影 操作兀SA(R)={t[A]It∈R}，其中sA为R中的属性列。 在不失一般性的情况下，假定数据库关系中的每一元组都由一独特的标识属性ID唯一标识，属性D 可以是元组的物理地址、逻辑地址、主键或其它能唯一识别元组的属性，另外为方便起见，假定属性D 隐藏(不出现在属性集中)于查询的所有结果集中(利用其值可唯一确定～元组)，使用表1的用户关系示例， 其中属性集A={登录名，密码，性别，部门，工资}，关系集中有6个元组。 表1部门人员示例 3lO 查询内容，F是Q的前件，氏是Q的后件。 在定义2中，并未考虑更新、插入查询和聚集查询以及一些包含函数在其后件中的查询，但对这些查 询作相应改变可以变换成定义2的格式，如对更新查询，可将查询分为读部分和写部分；对插入查询，可 将查询作为写部分且将插入的值作为前件，插入属性作为后件；对后件中包含的函数可将其展开，例如对 SQL语句表示的杏询“select fromTwhere a枣ai+13*aj F”，可得到该查询的内容为F一{ai，aj}。 表2查询结果示例 ID 登录名 性别 l Lisa F 5 Jazzy F 定义4(查询摘要，Query 查询摘要为：surn(Q)={qid，tid(qid)，attr(qid)}。 如上述查询的查询摘要为：sum(Q)={101，{1，5)，{登录名，性别})。 I I 定义5(查询聚类)给定训练集中所有查询的标识集合QD，定义查询聚类C={qidqid∈QD}，查 ∈C}。 C)=l{qid