智能神经网络在Internet入侵检测中的应用.docVIP

智能神经网络在Internet入侵检测中的应用* 肖瀛 李涛 王先旺 冷丽琴 刘峰 尹鹏1 四川大学（西区）计算机系 成都610065 [摘要]本文探讨了一个基于智能神经网络的网络入侵检测系统模型。在对网络中的IP数据包进行分析处理以及特征提取的基础上，采用智能神经网络进行学习或判别,以达到对未知数据包进行检测的目的。由于智能神经网络可以将多种多样的入侵检测任务划分为多个单一的检测任务，分配给功能专一、结构简单的较小的智能神经网络来完成。实验证明这是一种行之有效的网络入侵检测的解决方法。 [关键字]Internet入侵检测，智能神经网络，IP数据包，Bp算法 [分类号]TP31 A New Method for Internet Intrusion Detection Xiao Ying ,Li Tao ,Wang Xianwang ,Leng Liqin ,Liu Feng ,Yin Peng (Dept. of Computer Science, Sichuan University, Chengdu 610065) Abstract This paper presents a prototype of a intrusion detection system based on intelligent neural networks, which works by capturing packets and using a intelligent neural network to learn or identify an intrusive behavior within the analyzed data stream. The intelligent neural networks can divide the intricate task of intrusion detection into several single ones, and which will be operated by the some smaller intelligent neural network respectively. It is proved to be a good means for intrusion detection. Keywords Internet Intrusion Detection, Intelligent Neural Networks, IP data Steam, BP Algorithm 一、前 言 目前已经出现了许多种入侵检测系统（IDS）技术[1][2]，分为基于主机的入侵检测和基于网络的入侵检测。基于主机的入侵检测主要使用日志跟踪，而基于网络的入侵检测则主要通过对网络上数据包的分析来进行。 本文是想建立一个基于智能神经网络的入侵检测模型，它属于基于网络的入侵检测技术。由于它必须能分辨出当前连接是否属于恶意连接，因此我们必须对连接中传输的数据包信息进行分析，提取数据包中的特征信息，以及攻击行为的特征，然后将提取的信息输入到智能神经网络中进行学习，将获取的知识以隐性形式储存在神经网络中。 智能神经网络可以看成是一个非常大的智能神经元[3]，由多个较小的具有一定功能的智能神经网络构成，而较小的智能神经网络可以由许多更小的智能神经网络构成，直到最简单的神经元。因此，可以将复杂多样的检测任务划分为多个小的只针对几种攻击进行检测的任务，分别由各个小的智能神经网络完成，然后将它们组成一个功能强大的大智能神经网络。实验表明，经过大量的样本数据训练好的智能神经网络可用于入侵检测，它比传统神经网络更易于扩充知识和升级。 二、攻击数据 数据的收集：攻击数据和正常数据都是在可控制的网络环境下通过模拟入侵和正常网络运行收集的，攻击程序是根据或/bugtraq/文挡中的C源代码改写、编译而成。本实验针对8种攻击进行检测，分别为每一种攻击采集800个数据包头样本，其中400个用于学习，400个用于测试。 攻击的特征：不同的攻击有着不同的特征。例如，land攻击的特征为其源IP地址与目的IP地址相同；ping攻击的特征是其ICMP包的长度大于65536个字节；scan null这种扫描的特征是其seq位和ack位均为“0”。这些攻击的共同点在于它们的特征都体现在数据包的包头中，因此我们可以将数据包的包头部分转化为可供智能神经网络学习的向量值，利用智能神经网络的自学习、自适应能力，将各种攻击分类识别。 三、入侵检测模型的结构 本入侵检测系统分为以下4个部分。 其运行流程如图1所示。 数据捕捉模块：负责抓取网络中的数据包，送入分析模块。通过系统调用initdevice()来创建SOCK_PACKET