基于加權(quán)關(guān)聯(lián)規(guī)則的入侵檢測研究

1 前言

    隨著internet的飛速發(fā)展，網(wǎng)絡(luò)安全問題變得日趨重要。因此，入侵檢測作為一種網(wǎng)絡(luò)安全手段受到了越來越多的關(guān)注并逐漸成為動態(tài)安全技術(shù)中的核心技術(shù)。對于入侵檢測有兩種衡量的標(biāo)準(zhǔn)：檢測率和誤報(bào)率。一個(gè)優(yōu)秀的入侵檢測系統(tǒng)要求檢測率盡可能高且誤報(bào)率盡可能低，傳統(tǒng)的入侵檢測系統(tǒng)是首先建立一個(gè)包含各種已知網(wǎng)絡(luò)入侵方法和系統(tǒng)缺陷的入侵模式數(shù)據(jù)庫，然后在收集到的網(wǎng)絡(luò)活動信息中尋找與數(shù)據(jù)庫項(xiàng)目匹配的蛛絲馬跡。若匹配成功則入侵發(fā)生，否則即為正常數(shù)據(jù)。這說明入侵檢測系統(tǒng)的檢測率與入侵模式數(shù)據(jù)庫的完整程度緊密相關(guān)，同時(shí)誤報(bào)率與入侵模式的精確度也是密不可分。入侵模式數(shù)據(jù)庫包含的入侵模式越精確越完整，檢測率也就越高；檢測率越高，誤報(bào)率也就越低。目前，傳統(tǒng)的入侵模式數(shù)據(jù)庫是由手工方式構(gòu)建的且僅包含已知的入侵模式，因而不能檢測到未知入侵手段，從而限制了檢測率。

2 入侵檢測中關(guān)聯(lián)規(guī)則的有限性及應(yīng)用

2．1 入侵檢測關(guān)聯(lián)規(guī)則的應(yīng)用

    目前，許多研究使用數(shù)據(jù)挖掘中的關(guān)聯(lián)規(guī)則來挖掘未知的入侵模式是基于當(dāng)前用戶行為與歷史行為相關(guān)的前提條件，因此，從歷史行為中挖掘出的模式顯示了用戶行為的統(tǒng)計(jì)特性，通過把這些模式增加到入侵模式數(shù)據(jù)庫中并把當(dāng)前用戶行為與歷史統(tǒng)計(jì)特性相比較，與安全策略相矛盾的行為即被檢測為人侵行為。






    首先產(chǎn)生所有支持度大于最小支持度之值的項(xiàng)集，這些項(xiàng)集被稱作大項(xiàng)集，其他的被稱作小項(xiàng)集；其次對每一個(gè)大項(xiàng)集產(chǎn)生大于置信度的所有規(guī)則，例如：對于大項(xiàng)集



2．2 關(guān)聯(lián)規(guī)則的有限性

    雖然關(guān)聯(lián)規(guī)則為檢測數(shù)據(jù)中的潛在關(guān)系提供了有效的機(jī)制，把關(guān)聯(lián)規(guī)則應(yīng)用到入侵檢測系統(tǒng)，可發(fā)現(xiàn)未知的入侵模式，入侵模式數(shù)據(jù)庫被擴(kuò)展到可檢測出一些未知入侵的模式，因而可提高入侵檢測系統(tǒng)的檢測率，然而這種方法同時(shí)也增加了系統(tǒng)的誤報(bào)率。產(chǎn)生這種結(jié)果的原因主要是關(guān)聯(lián)規(guī)則中的假設(shè)，該假設(shè)暗示了列集中每一項(xiàng)目都有同等的重要性。然而實(shí)際情況并非如此，網(wǎng)絡(luò)是動態(tài)的。入侵檢測也一樣，隨著時(shí)間的推移，新的入侵就可能出現(xiàn)。審計(jì)數(shù)據(jù)中隨時(shí)間增長的數(shù)據(jù)越來越多，大多數(shù)項(xiàng)目或許出現(xiàn)很長時(shí)間，而其他項(xiàng)目才剛剛出現(xiàn)，因而引起所謂的時(shí)間效應(yīng)問題。即歷史越久遠(yuǎn)的數(shù)據(jù)應(yīng)該對規(guī)則的影響越小，同時(shí)也說明每個(gè)項(xiàng)目的重要性是不同的。由于目前采用的關(guān)聯(lián)規(guī)則不能解決這個(gè)問題，為此本文將加權(quán)關(guān)聯(lián)規(guī)則引入入侵檢測中，可用來解決這個(gè)問題。

3 入侵檢測系統(tǒng)中加權(quán)關(guān)聯(lián)規(guī)則的應(yīng)用



    用戶不感興趣的規(guī)則，同時(shí)觀察到集合{D，丑，9}在1995年后在數(shù)據(jù)庫中出現(xiàn)的頻率很高，這或許隱藏著某些規(guī)則，暗示著新的攻擊技術(shù)的出現(xiàn)。為了開采出所有這些用戶感興趣規(guī)則，首先降低最小支持度S與最小置信度C到0．3和0．6，結(jié)果僅僅得到兩個(gè)無用規(guī)則A→B，D→A，這說明僅依靠降低閾值無法有效地解決該問題。另一個(gè)方法是：可刪除過時(shí)的老項(xiàng)目集，但問題是在一個(gè)海量數(shù)據(jù)庫中很難確定哪些項(xiàng)目為過時(shí)的項(xiàng)目，另外，某些過時(shí)的老項(xiàng)目集或許可能和新項(xiàng)目一起構(gòu)成新的有趣規(guī)則，所以刪除老項(xiàng)目集同樣不能解決問題。





    利用表1中的數(shù)據(jù)，依上述方法把審計(jì)數(shù)據(jù)分為10個(gè)時(shí)間間隔，第1行為0．1，第2行為0．2…(見表1)，仍然設(shè)置最小支持度及最小置信度為0．4與0．7，將得到規(guī)則；C→D，D→C，E→F與F→丑，與沒有使用加權(quán)規(guī)則相比發(fā)現(xiàn)包含A、B的規(guī)則消失了，若把最小支持度和最小置信度分別降為0．3與0．6，將得到有趣的新規(guī)則為C→F，D+F，DAE→F和DAF→E。


以上分析顯示，把加權(quán)關(guān)聯(lián)規(guī)則技術(shù)引入入侵檢測系統(tǒng)可更精確地表示入侵模式。這是由于考慮了審計(jì)數(shù)據(jù)的時(shí)間效應(yīng)。同時(shí)，使用加權(quán)關(guān)聯(lián)規(guī)則可從各種各樣的審計(jì)數(shù)據(jù)中更加容易且更有效地發(fā)現(xiàn)有用信息。因此，加權(quán)關(guān)聯(lián)規(guī)則技術(shù)比關(guān)聯(lián)規(guī)則技術(shù)更加適合于構(gòu)建入侵檢測系統(tǒng)的入侵模塊數(shù)據(jù)庫。

4 加權(quán)關(guān)聯(lián)規(guī)則的NIDS體系結(jié)構(gòu)

該模型(如圖1所示)主要由基于加權(quán)關(guān)聯(lián)規(guī)則的數(shù)據(jù)挖掘模塊(如圖2所示)、知識庫、入侵檢測機(jī)制和智能決策模塊4大部分組成。其實(shí)現(xiàn)過程為：

(1)知識庫的初始化：首先將已知系統(tǒng)缺陷和其他已知攻擊模式裝入知識庫中，然后在挖掘算法庫的指導(dǎo)下，對審計(jì)數(shù)據(jù)中的歷史數(shù)據(jù)進(jìn)行挖掘形成知識庫，目的在于描述網(wǎng)絡(luò)數(shù)據(jù)包中隱含的異常和正常事件。

(2)在挖掘算法庫(基于加權(quán)關(guān)聯(lián)規(guī)則技術(shù))的指導(dǎo)下，對基于發(fā)生時(shí)間不同而產(chǎn)生不同權(quán)值的審計(jì)數(shù)據(jù)進(jìn)行挖掘得出新的入侵證據(jù)送人入侵檢測機(jī)制。 

(3)在知識庫的指導(dǎo)下進(jìn)行入侵檢測，若特征符合或規(guī)則匹配則交由智能決策模塊進(jìn)行相應(yīng)的響應(yīng)處理，否則記錄特征。 



結(jié) 語

本文把加權(quán)關(guān)聯(lián)規(guī)則技術(shù)運(yùn)用到網(wǎng)絡(luò)入侵檢測系統(tǒng)中，給出了基于加權(quán)關(guān)聯(lián)規(guī)則的網(wǎng)絡(luò)入侵檢測系統(tǒng)的體系結(jié)構(gòu)?；诖私Y(jié)構(gòu)的網(wǎng)絡(luò)入侵檢測系統(tǒng)與僅使用關(guān)聯(lián)規(guī)則的網(wǎng)絡(luò)入侵檢測系統(tǒng)相比提高了挖掘入侵模式的精確度和完整性．不但能夠發(fā)現(xiàn)一些未知的入侵手段從而提高了檢測率，同時(shí)還可有效降低誤報(bào)率的發(fā)生．在基于加權(quán)關(guān)聯(lián)規(guī)則的入侵檢測系統(tǒng)中，權(quán)值的選擇也是一個(gè)關(guān)鍵問題，進(jìn)一步的研究工作將是解決如何在入侵檢測中更合理地選擇權(quán)值的問題。