基于目标预判的网络入侵检测频率自调整算法.docxVIP

基于目标预判的网络入侵检测频率自调整算法 　　摘要：　　在集群环境中，入侵者攻击特定目标是提高攻击效率一种常规手段，有针对性地调度计算资源可有效提高检测效率。提出一种基于攻击目标预判的网络入侵检测系统的检测频率自调整算法DFSATP，检测分析采集到的数据，将发往潜在被攻击目标范围的数据列为高危数据，其余数据为低危数据，指引网络入侵检测系统高频检测发往预测目标的高危数据包，低频检测低危数据包，从而提高NIDS的检测效率，保障在有限的计算资源情况下提高异常数据的检出率。模拟实验结果表明，在高速网络环境下，DFSATP对NIDS检测频率的调整，使得异常数据的检出率得到了一定程度的提升。　　关键词：　　入侵检测；检测频率；攻击目标预判；检出率；高危数据；低危数据　　中图分类号：　　TP393　　文献标志码：A　　Abstract：　　In cluster， it is a conventional method to increase attack efficiency for intruder by attacking the specific target， so it is effective to improve the detection efficiency by scheduling the computing resource contrapuntally. A frequency selfadjusting algorithm for Network Intrusion Detection System based on target prediction， named DFSATP， was proposed. By detecting and analyzing the collected data packets， the data packets sent to potentially attacked targets were marked as high risk data and the other packets were marked as low risk data. The efficiency of NIDS was improved by high frequency detection of high risk data packets and low frequency detection of low risk packets， thus the detection rate of abnormal data was also increased to some extent in limited computing resource circumstances. The simulation results show that the detection rate of abnormal data packets is increased because of the detection frequency adjustment of NIDS by using DFSATP.　　英文关键词Key words：　　intrusion detection； detection frequency； target predetection； detection rate； high risk data； low risk data　　0引言　　入侵检测是指通过网络系统中的关键节点采集大规模数据，从中分析是否存在违反安全策略的行为[1]。从采集数据的对象区分，入侵检测系统可分为基于主机的入侵检测系统和基于网络的入侵检测系统，HIDS以主机系统作为检测对象，而NIDS通过采集网络系统的数据进行协议分析和特征匹配。近年来，NIDS成为学者的研究热点。　　随着计算机网络的高速发展，局域网已进入千兆速率时代，主干网络中也早已实现万兆速率。高速网络的特征是数据流量大，要求入侵检测系统的数据处理性能高，处理能力的缺乏必然会导致入侵事件的漏报，国外学者Schaelicke等[2]就提出当今网络入侵检测系统的主要问题就是处理性能跟不上网络带宽的快速增长。为提高NIDS的处理性能，国内外学者近年来进行了深入研究，主要研究方向可分为两类：一种方法是采用可扩展的多引擎并行处理技术，另一种方法是提高单个检测引擎的处理能力和提高入侵检测算法的效率[3]。本文研究的方法为提高入侵检测算法的效率。　　高速网络下的大规模数据，致使传统的NIDS捕获全部数据包并进行详细分析存在相当大的难度[4]。在数据采集后，要对其进行协议解析并提取出特征，然后采用模式匹配等方法对提取的特征进行分析，不同的