《基于模糊神经网络的入侵检测机制研究》由会员分享，可在线阅读，更多相关《基于模糊神经网络的入侵检测机制研究（69页珍藏版）》请在金锄头文库上搜索。
1、摘要基于 特征匹 配的 入侵检测系统( I n t r u s i o n D e t e c t i o n S y s t e m - I D S ) 由 于检 测效 率 高， 误报率低的 特性而被大多数的商业 I D S系统所采用。 但是，这种系统存在的 主要问 题是人工生成的专家知识库难以 应对千变万化的攻击， 而且，由 于系统不能识别新型攻击使得对新型攻击的规则生成要花费额外的人力和物力.本文以网络入侵的异常检测研究为出发点，针对目 前的入侵检测系统有误报率过高、检测率不高和对未知入侵的检测能力有限的缺陷，通过对入侵检测、自 组 织 特 征 映 射 神 经网 络 ( S h e -
2、O r g a n i z in g f e n t u r e M a p , S O F M ) 和 模 糊 技 术 的 研 究 分 析后， 提出了 基于模糊S O F M的网 络入侵检测方法， 将模糊S O F M神经网络运用 到入侵检测中，并结合入侵检测模型进行分析，构建了 一个基于模糊神经网络的 检测模型。论文详细讨论了它的实现方法，根据网络入侵检测的特征，提出了相 应的检测规则和针对入侵检测的聚类分析方法。 利用模糊S O F M对目 标进行聚类， 将目 标特征空间进行划分，以 识别出正常行为与入侵行为。实验结果显示， 本文 设计的模糊S O F M网络经过训练后， 可以 形成一个
3、稳定的神经网络系统， 有效的 识别网络正常行为和异常行为。 将此模糊S O F M网络应用于入侵检测， 不但提高 了检测率，也降低了错误报警率。关键字:信息安全，网络安全，入侵检测，模糊神经网络_A b s t r a d 一一Ab s t r a c tT h e I n t r u s i o n D e t e c t i o n S y s t e m ( I D S ) b a s e e d o n f e a t u r e - m a t c h i n g t e c h n o l o g y a r ew i d e l y a p p l i e d i n c o m
4、 m e r c i a l a r e a b e c a u s e o f i t s h i g h e ff i c i e n c y in d e t e c t i o n a n d l o w r a t e i n f a l s e a l a r m . H o w e v e r , s u c h s y s t e m s c a n t e ff e c t iv e l y r e a c t t o t h e c h a n g e a b l e a t t a c k s a n d d e t e c t n e w a t t a c k b e
5、 c a u s e o f t h e l i m it e d e x p e r t k n o w l e d g e i n i t s m a t c h i n gd a t a b a s e . C o n s e q u e n t l y , t h e f o r m a t i o n o f r u l e s t o w a r d s n e w a t t a c k s r e q u i r e s m u c h m o r et i me a n d c o s t .C o n s i d e r i n g c u r r e n t i n t
6、r u s i o n d e t e c t i o n s y s t e m w i t h h i g h m i s i n f o r m a t i o n r a t e a n dl o w d e t e c t i o n r a t e , w e a p p l y f u z z y S O F M n e u r a l n e t w o r k o n i n t r u s i o n d e t e c t i o n , a n d a n a l y z e i t w i t h i n i n t r u s io n d e t e c t i
7、o n m o d e l b y c o n s t r u c t i n g a f u z z y n e u r a l n e t w o r k - b a s e d d e t e c t i o n m o d e l . We g i v e o u t i t s i m p l e m e n t a t i o n s i n d e t a i l . C o n s i d e r i n g c h a r a c t e r o f n e t w o r k i n t r u s i o n d e t e c t i o n , w e p r e s
8、 e n t r e l e v a n t d e t e c t i o n r u l e a n d c l u s t e r i n g a n a l y t i c a l m e t h o d a i m i n g a t i n t r u s i o n d e t e c t i o n . T h i s a l g o r i t h m m a k e s u s e o ff u z z y S O F M t o c l u s t e r o b j e ct , a n d d i v i d e s o b j e c t c h a r a c t
9、 e r s p a c e t o d i s t i n g u i s h n o r m a l a n d a b n o r m a l b e h a v i o r . T h e f u z z y S O F M n e t w o r k h a s b e e n t r a i n e d w e l l a f t e r , c a n b e c o m e a s t a b l e n e r v e n e t w o r k s y s t e m , a n d c a n i d e n t i f y a n e t w o r k n o r m
10、 a l a n d a b n o r m a lb e h a v i o r e f f e c t i v e l y . E x p e r i m e n t s s h o w t h a t , t h i s d e t e c t i o n m e t r i c s i m p r o v e s t h e c o r r e c td e t e c t i o n r a t e a n d r e d u c e s t h e f a l s e a l a r m r a t e .I n f o r m a t i o n S e c u r i t y
11、, N e t w o r k S e c u r i t y I n t r u s i o n D e t e c t i o n , F u z z y N e u r a lNe t wo r k靡页x 8 9 8 7 6 5声明本人声明所呈交的论文是我个人在导师指导下进行的研究工作及取得的研究成果。尽我所知，除了文中 特别加以 标注和致谢的地方外，论文中不包含其他人已经发表或撰写过的研究成果，也不包含为获得云南大学或其他教育机构的学位或证明而使用过的材料。与我一同工作的同志对本研究所做的任何贡献均己 在论文中作了明确的说明并表示了谢意。研究生签名口, . s r 口 、 16 目户
12、甲1 :论文使用和授权说明本人完全了解云南大学有关保留、使用学位论文的规定，即:学校有权保留并向国家有关部门或机构送交学位论文和论文电子版;允许论文被查阅或借阅;学校可以公布论文的全部或部分内容， 可以 采用影印、 缩印或其他复制手段保存论文;授权学校将学位论文的全部或部分内容编入有关数据库进行检索。( 保密的论文在解密后应遵循此规定)研 究 生 签 名 :遨 R R 导 师 签 名期 : -O c . ， 口对第二章入侵检测第二章 入侵检测1 9 8 0年 ，A n d e r s o n在报告 “ C o m p u t e r S e c u r i t y T h r e a t M
13、o n i t o r i n g S u r v e i l l a n c e ”中提出必须改变现有的系统审计机制，以 便为专职系统安全人员 提供安 全信息， 此文被认为是 有关入 侵检测的 最早论述 5 1 ; 1 9 8 4 1 9 8 6 年D o r o t h y D e n n i n g和 P e t e r N e u m a n n联合开发了一个实时的入侵检测系统一一I D E S ( I n t r u s i o n D e t e c t i o n E x p e r t S y s t e m ) , I D E S 采用异 常检测和专家系统的 混合 结构， D
14、 e n n i n g 1 9 8 7 年的 论文“ A n I n t r u s i o n D e t e c t i o n M o d e l ” 亦被认为是入侵检测的另一篇开L IJ 之作 6 ;1 9 8 8年， M o n r r i s I n t e r n e t蠕虫事件导致7 许多 I D S 系统的开发研制。 1 9 8 8 年， L u n t 等人进一步改进了D e n n y i n g 提出的入侵检测 模型， 他提出了 与系统平台 无关的实时检测思想。1 9 % 年， H e b e r l e i n等人提出 基于网 络的 入侵检测- N S M , N
15、S M 可以 通过在局域网 上主动地监视网 络信息流量来追 踪可疑的行为。1 9 9 1 年， N A D I R 与D I D S 提出了收集和合并处理来自 多个主机的审 计信息从而用以 检测针对一系列主机的协同 攻击。1 9 9 4 年， M a r k C r o s b i e 和G e n e S p a f f o r d 建议使用自 治代理以 便提高I D S 的可伸缩性、 可维护性、 效率和容错性。 1 9 9 4 年B i s w a n a t h M u k h e r j e e 等 对先前I D S 的 研究做了 较为完整的 回 顾和分析对 各种 I D S的系统原型
16、进行了分析和评述 7 1 . 1 9 9 5年以后出 现了 很多不同的新的I D S 研究方法特别是智能I D S ， 包括神经网 络、遗传算法、 模糊识别、 免疫系统、 数据挖掘等， 这些方法目 前都处在理论研究阶段 7 - 1 幻。入侵检测系统从计算机网络系统中的若干个关键点收集信息，并分析这些信 息，检查网络中是否有违反安全策略的行为和遭到袭击的迹象。入侵检测被认为是防火墙之后的第二道安全闸门。一个成功的入侵检测系统不仅能使系统管理员 时刻了 解网络系统 ( 包括程序、文件和硬件设备等)的任何变更，还能给网络安全的策略的制定提供依据。2 . 1 入侵检测的基本原理入侵检测首先是基于两个基本假设:( 1 )用户和程序行为是可见的:( 2 )正 常行为与入侵行为本质上是可区分的，也就是说可以 通过提取网络行为的数字特 征来分析判断该行为的合法性。一个基本的入侵检测系统需要解决两个问题:一 是如何充分并可靠地提取包含关键行为特征的数据，二是如何高效并准确地判定 行为的合法性。在此基础之上就可以进一步实现网络对抗、动态策略、入侵学习等功能。第二章 入侵检侧
