基于关联规则的滥用入侵检测系统的研究与实现.docVIP

基于关联规则的滥用入侵检测系统的研究与实现 　　摘 要： 为了提高入侵检测系统的智能性和检测准确性，提出将关联规则的Apriori算法应用于入侵检测系统，并对传统算法做出两点改进：利用动态剪枝技术，提前判断出不符合要求的候选项，以减少数据库扫描次数；使用逆向回推思想，先找出最大频繁集，再由此得出所有频繁集。在自构建的入侵检测系统中，运用改进的算法先训练出入侵规则，而后基于滥用检测技术，用其检测捕获到的网络数据包。实验结果表明，改进后的算法能够达到比较高的检测率，而且相同数据规模下，执行效率较传统算法提高30%以上。 　　关键词： 数据挖掘； 入侵检测； 关联规则； Apriori算法 　　中图分类号： TN911?34； TP301 文献标识码： A 文章编号： 1004?373X（2017）02?0043?05 　　Abstract： To improve the intelligence and detection accuracy of intrusion detection system， the application of the Apriori algorithm of association rules in intrusion detection system is put forward， and two improvements are made for the traditional algorithm. The dynamic pruning technology is used to judge the candidate item which does not conform to the requirements of the candidate in advance， so as to reduce the database scan times. reverse back ideas are adopted to find the maximum frequent set， and then get all the frequent sets according to the maximum frequent set. In the intrusion detection system， the improved algorithm is used to train intrusion rules， and then detect captured network data packets on the basis of misuse detection technology. The experimental results show that the improved algorithm can achieve a higher detection rate， and its execution efficiency is increased by more than 30% in comparison with traditional algorithms in the same data size. 　　Keywords： data mining； intrusion detection； association rule； Apriori algorithm 　　0 引 言 　　?S着互联网技术的飞快发展，使用网络进行信息处理已经成为一种常态，越来越多的领域加入到网络信息处理行列，如：国土网络系统、公安管理系统、健康信息系统等，网络给人类的生活及工作带来极大的便利，但同时，网络上的信息数据也存在严重的安全隐患。近些年，计算机病毒以及网络黑客攻击呈明显上升趋势，可见，实时有效地检测网络数据，及时阻止或预警入侵行为是保证网络安全的关键。 　　1980年，James P. Anderson首次将入侵尝试或威胁定义为潜在的、有预谋的、未经授权的访问信息和操作信息，致使系统不可靠或无法使用的企图。1986年，Dorothy E.Denning提出实时异常检测的概念，并建立了第一个实时入侵检测模型，命名为入侵检测专家系统（IDES）。1990年，L.T.Heberlein等设计出监视网络数据流的入侵检测系统（NSM），至此，入侵检测系统才真正发展起来。 　　相较于传统的网络安全技术，如：防火墙技术、密码技术、访问控制、防病毒等[1]，入侵检测系统是一种主动式防御工具，能够监测并分析用户或系统的行为，识别已知的攻击。但现有的入侵检测系统普遍存在漏报、误报、预警性差等问题[2?4]。鉴于此，本文将数据挖掘技术融合进网络入侵检测系统中，使用关联规则的数据挖掘算法，实现一个基于网络的