聚类算法在网络入侵检测中的应用.pdf

29 16 第 卷　第 期 计　算　机　工　程 2003 9 年 月 Vol.29 № 16 Computer Engineering September 2003 ·基金项目论文· 文章编号：1000—3428(2003)16 — 0048—02 文献标识码：A 中图分类号： TP393.08 聚类算法在网络入侵检测中的应用 向 继，高 能，荆继武 (中国科学院研究生院信息安全国家重点实验室，北京100039) 摘 要：分析了目前的入侵检测技术，提出了使用聚类算法进行网络入侵检测的方法，并通过试验说明了该方法的应用效果。 关键词：聚类算法；网络入侵检测；数据挖掘； 算法 K-means Application of Cluster Algorithm in Network Intrusion Detection XIANG Ji，GAO Neng，JING Jiwu (The State Key Laboratory of Information Security,Graduate School of the Chinese Academy of Sciences,Beijing 100039) 【Abstract 】 This paper analyses the current intrusion detection techniques, brings forward a technique that applies cluster algorithm to network intrusion detection, and shows the effect through an experiment. 【Key words 】 Cluster algorithm; Network intrusion detection; Data mining; K-means algorithm 1 基于异常的入侵检测 数据属性间有意义的关联。 基于异常的入侵检测技术可以分为需要指导的异常检测 聚类算法涉及很多个领域，包括数据挖掘、统计、机器 和无需指导的异常检测，需要指导的异常检测通过观察得到 学习、空间数据库技术，目前研究重点是基于距离的聚类算 的正常数据建立正常数据模型，然后检测那些偏离正常模型 法。聚类算法也是一种无指导的学习，它不像分类算法那样 的异常数据，一个比较典型的使用这种技术的系统是美国乔 需要事先标记好的训练数据。 治梅森大学的MADAM/ID 系统。这种方法能够检测新的攻 聚类算法的输入是一个包含多个数据的数据集，每个数 1 2 p) xi 击类型，因为这些新的攻击数据也会偏离正常的数据模型。 据通常用一个属性向量(x ,x ,...,x 来表示，其中 是一个连续 需要指导的异常检测的一个缺陷是需要一组完全正常的数据 的或离散的变量，代表数据的一个属性的取值。聚类算法的 来训练获得模型，如果训练数据中包含攻击数据的话，这些 输出是若干个聚类，每个