基于数据挖掘的异常入侵检测系统研究  

Research of Anomaly Detection System Based on Data Mining

作　　者：吕志军[1] 袁卫忠[1] 仲海骏[1] 黄皓[1] 曾庆凯[1] 谢立[1] 

机构地区：[1]南京大学计算机软件新技术国家重点实验室

出　　处：《计算机科学》2004年第10期61-65,共5页Computer Science

基　　金：国家863计划2001AA142010(智能入侵检测与预警系统);2002AA141090(安全服务器)资助

摘　　要：网络上不断出现新的攻击方法,要求入侵检测系统具有能检测新的未知攻击的异常检测能力。本文提出了一个基于数据挖掘的异常入侵检测系统ADESDM。ADESDM系统提出了同时从网络数据的协议特征,端口号和应用层数据中挖掘可疑行为的方法。在挖掘过程中,不但采用了基于强规则的关联规则挖掘方法,还针对强规则挖掘方法的缺点,提出了基于弱规则的关联规则挖掘方法,来检测那些异常操作少,分布时间长等不易检测的的网络攻击。同时利用网络通信的时间、方向、端口号、主机地址等属性之间的影响,建立以各属性为节点的贝叶斯网络作为异常判别器,进一步判别关联规则挖掘中发现的可疑行为,提高了系统检测的准确率。Intrusion detection system(IDS)must be capable of detecting new and unknown attacks. In this paper, we propose an Anomaly Detection System based on Data Mining(ADESDM). Firstly, ADESDM mine suspicious behaviors in the protocol header, ports and application data with strong association rules and weak association rules; then, it sends the suspicious behaviors to the Deciding Module based on Bayesian Belief Net (DMBBN). In real network communications, the attributes, such as time, direction, ports and IP addresses, are influencing each other. The DMBBN illustrates the conditional probabilities and relationship among the above attributes, and uses them to determine whether the suspicious behaviors are normal ones or attacks. Thus, system can reduce the false alarm rate.

关 键 词：入侵检测系统 关联规则挖掘 端口号 数据挖掘 异常检测 网络攻击 攻击方法 行为 影响 准确率 

分 类 号：TP393.08[自动化与计算机技术—计算机应用技术] TP311[自动化与计算机技术—计算机科学与技术]