基于加權關聯(lián)規(guī)則的入侵檢測研究

1 前言

    隨著internet的飛速發(fā)展，網(wǎng)絡安全問題變得日趨重要。因此，入侵檢測作為一種網(wǎng)絡安全手段受到了越來越多的關注并逐漸成為動態(tài)安全技術中的核心技術。對于入侵檢測有兩種衡量的標準：檢測率和誤報率。一個優(yōu)秀的入侵檢測系統(tǒng)要求檢測率盡可能高且誤報率盡可能低，傳統(tǒng)的入侵檢測系統(tǒng)是首先建立一個包含各種已知網(wǎng)絡入侵方法和系統(tǒng)缺陷的入侵模式數(shù)據(jù)庫，然后在收集到的網(wǎng)絡活動信息中尋找與數(shù)據(jù)庫項目匹配的蛛絲馬跡。若匹配成功則入侵發(fā)生，否則即為正常數(shù)據(jù)。這說明入侵檢測系統(tǒng)的檢測率與入侵模式數(shù)據(jù)庫的完整程度緊密相關，同時誤報率與入侵模式的精確度也是密不可分。入侵模式數(shù)據(jù)庫包含的入侵模式越精確越完整，檢測率也就越高；檢測率越高，誤報率也就越低。目前，傳統(tǒng)的入侵模式數(shù)據(jù)庫是由手工方式構建的且僅包含已知的入侵模式，因而不能檢測到未知入侵手段，從而限制了檢測率。

2 入侵檢測中關聯(lián)規(guī)則的有限性及應用

2．1 入侵檢測關聯(lián)規(guī)則的應用

    目前，許多研究使用數(shù)據(jù)挖掘中的關聯(lián)規(guī)則來挖掘未知的入侵模式是基于當前用戶行為與歷史行為相關的前提條件，因此，從歷史行為中挖掘出的模式顯示了用戶行為的統(tǒng)計特性，通過把這些模式增加到入侵模式數(shù)據(jù)庫中并把當前用戶行為與歷史統(tǒng)計特性相比較，與安全策略相矛盾的行為即被檢測為人侵行為。






    首先產(chǎn)生所有支持度大于最小支持度之值的項集，這些項集被稱作大項集，其他的被稱作小項集；其次對每一個大項集產(chǎn)生大于置信度的所有規(guī)則，例如：對于大項集



2．2 關聯(lián)規(guī)則的有限性

    雖然關聯(lián)規(guī)則為檢測數(shù)據(jù)中的潛在關系提供了有效的機制，把關聯(lián)規(guī)則應用到入侵檢測系統(tǒng)，可發(fā)現(xiàn)未知的入侵模式，入侵模式數(shù)據(jù)庫被擴展到可檢測出一些未知入侵的模式，因而可提高入侵檢測系統(tǒng)的檢測率，然而這種方法同時也增加了系統(tǒng)的誤報率。產(chǎn)生這種結果的原因主要是關聯(lián)規(guī)則中的假設，該假設暗示了列集中每一項目都有同等的重要性。然而實際情況并非如此，網(wǎng)絡是動態(tài)的。入侵檢測也一樣，隨著時間的推移，新的入侵就可能出現(xiàn)。審計數(shù)據(jù)中隨時間增長的數(shù)據(jù)越來越多，大多數(shù)項目或許出現(xiàn)很長時間，而其他項目才剛剛出現(xiàn)，因而引起所謂的時間效應問題。即歷史越久遠的數(shù)據(jù)應該對規(guī)則的影響越小，同時也說明每個項目的重要性是不同的。由于目前采用的關聯(lián)規(guī)則不能解決這個問題，為此本文將加權關聯(lián)規(guī)則引入入侵檢測中，可用來解決這個問題。

3 入侵檢測系統(tǒng)中加權關聯(lián)規(guī)則的應用



    用戶不感興趣的規(guī)則，同時觀察到集合{D，丑，9}在1995年后在數(shù)據(jù)庫中出現(xiàn)的頻率很高，這或許隱藏著某些規(guī)則，暗示著新的攻擊技術的出現(xiàn)。為了開采出所有這些用戶感興趣規(guī)則，首先降低最小支持度S與最小置信度C到0．3和0．6，結果僅僅得到兩個無用規(guī)則A→B，D→A，這說明僅依靠降低閾值無法有效地解決該問題。另一個方法是：可刪除過時的老項目集，但問題是在一個海量數(shù)據(jù)庫中很難確定哪些項目為過時的項目，另外，某些過時的老項目集或許可能和新項目一起構成新的有趣規(guī)則，所以刪除老項目集同樣不能解決問題。





    利用表1中的數(shù)據(jù)，依上述方法把審計數(shù)據(jù)分為10個時間間隔，第1行為0．1，第2行為0．2…(見表1)，仍然設置最小支持度及最小置信度為0．4與0．7，將得到規(guī)則；C→D，D→C，E→F與F→丑，與沒有使用加權規(guī)則相比發(fā)現(xiàn)包含A、B的規(guī)則消失了，若把最小支持度和最小置信度分別降為0．3與0．6，將得到有趣的新規(guī)則為C→F，D+F，DAE→F和DAF→E。


以上分析顯示，把加權關聯(lián)規(guī)則技術引入入侵檢測系統(tǒng)可更精確地表示入侵模式。這是由于考慮了審計數(shù)據(jù)的時間效應。同時，使用加權關聯(lián)規(guī)則可從各種各樣的審計數(shù)據(jù)中更加容易且更有效地發(fā)現(xiàn)有用信息。因此，加權關聯(lián)規(guī)則技術比關聯(lián)規(guī)則技術更加適合于構建入侵檢測系統(tǒng)的入侵模塊數(shù)據(jù)庫。

4 加權關聯(lián)規(guī)則的NIDS體系結構

該模型(如圖1所示)主要由基于加權關聯(lián)規(guī)則的數(shù)據(jù)挖掘模塊(如圖2所示)、知識庫、入侵檢測機制和智能決策模塊4大部分組成。其實現(xiàn)過程為：

(1)知識庫的初始化：首先將已知系統(tǒng)缺陷和其他已知攻擊模式裝入知識庫中，然后在挖掘算法庫的指導下，對審計數(shù)據(jù)中的歷史數(shù)據(jù)進行挖掘形成知識庫，目的在于描述網(wǎng)絡數(shù)據(jù)包中隱含的異常和正常事件。

(2)在挖掘算法庫(基于加權關聯(lián)規(guī)則技術)的指導下，對基于發(fā)生時間不同而產(chǎn)生不同權值的審計數(shù)據(jù)進行挖掘得出新的入侵證據(jù)送人入侵檢測機制。 

(3)在知識庫的指導下進行入侵檢測，若特征符合或規(guī)則匹配則交由智能決策模塊進行相應的響應處理，否則記錄特征。 



結 語

本文把加權關聯(lián)規(guī)則技術運用到網(wǎng)絡入侵檢測系統(tǒng)中，給出了基于加權關聯(lián)規(guī)則的網(wǎng)絡入侵檢測系統(tǒng)的體系結構?；诖私Y構的網(wǎng)絡入侵檢測系統(tǒng)與僅使用關聯(lián)規(guī)則的網(wǎng)絡入侵檢測系統(tǒng)相比提高了挖掘入侵模式的精確度和完整性．不但能夠發(fā)現(xiàn)一些未知的入侵手段從而提高了檢測率，同時還可有效降低誤報率的發(fā)生．在基于加權關聯(lián)規(guī)則的入侵檢測系統(tǒng)中，權值的選擇也是一個關鍵問題，進一步的研究工作將是解決如何在入侵檢測中更合理地選擇權值的問題。