異常網(wǎng)絡(luò)入侵檢測技術(shù)

1、異常網(wǎng)絡(luò)入侵檢測技術(shù)0前言入侵檢測就是對企圖入侵，正在進(jìn)行的入侵或者已經(jīng)發(fā)生的入侵進(jìn)行識別的過程。所有能夠執(zhí)行入侵檢測任務(wù)的系統(tǒng)，都可稱為入侵檢測系統(tǒng)。從數(shù)據(jù)分析手段來看，入侵檢測可分為誤用入侵檢測和異常入侵檢測。誤用檢測對比已知的攻擊所構(gòu)成的數(shù)據(jù)庫中的數(shù)據(jù)和當(dāng)前數(shù)據(jù)來發(fā)現(xiàn)入侵。異常檢測是通過觀察當(dāng)前活動與歷史正?；顒又g的差異來發(fā)現(xiàn)入侵，被認(rèn)為是入侵檢測中最有發(fā)展前景的方法之一。1 異常檢測技術(shù)異常入侵檢測系統(tǒng)一般包括以下幾個模塊。1）數(shù)據(jù)采集模塊。本模塊從被檢測系統(tǒng)的網(wǎng)卡獲取數(shù)據(jù)，并存儲到特定的數(shù)據(jù)結(jié)構(gòu)中，以備其他模塊訪問和使用。2）數(shù)據(jù)訓(xùn)練模塊。我們事先建立好正常（或異常）狀態(tài)活動的訓(xùn)練

2、模型并不斷地進(jìn)行更新。3）數(shù)據(jù)檢測模塊。本階段我們將用戶當(dāng)前的活動情況與上階段的訓(xùn)練模型進(jìn)行對比，如果發(fā)現(xiàn)了超過閾值的差異程度，則產(chǎn)生告警。根據(jù)訓(xùn)練模型建立的手段來看，異常檢測技術(shù)通?？梢苑譃槿悾夯诮y(tǒng)計分析、基于知識和基于機(jī)器學(xué)習(xí)。1.1 基于統(tǒng)計分析的異常檢測技術(shù)。該技術(shù)通常的做法是根據(jù)用戶對象的活動為每個用戶都建立一個用戶特征輪廓表，通過比較當(dāng)前特征與已建立的以前特征得到一個偏差，如果這個偏差大于設(shè)定的閾值，從而判斷當(dāng)前行為是否異常。用戶特征輪廓表需要根據(jù)審計記錄情況不斷地加以更新。特征輪廓表中包含許多衡量指標(biāo)。例如網(wǎng)絡(luò)流量、每種協(xié)議的數(shù)據(jù)包數(shù)、ip地址等等，這些指標(biāo)值可以根據(jù)經(jīng)驗值或

3、一段時間內(nèi)的統(tǒng)計值得到。在統(tǒng)計模型中常用的方法有：方差、馬爾柯夫過程模型、時間序列分析。統(tǒng)計分析技術(shù)由于是選取某段歷史數(shù)據(jù)假設(shè)是正常的數(shù)據(jù)，其缺陷主要是假設(shè)統(tǒng)計模型的數(shù)據(jù)能正確的反映系統(tǒng)的正常數(shù)據(jù)，實際中往往很復(fù)雜。1.2 基于知識的異常檢測技術(shù)。專家系統(tǒng)是知識檢測中應(yīng)用最廣泛的技術(shù)。專家系統(tǒng)的主要工作是把審計數(shù)據(jù)歸類，一般按照下面三個步驟歸類。第一步從訓(xùn)練數(shù)據(jù)中確定類別。第二步確定分類規(guī)則和分類程序以及所涉及的參數(shù)。第三步分類成程序根據(jù)分類規(guī)則確定審計數(shù)據(jù)的類別（入侵或正常）。專家系統(tǒng)是根據(jù)規(guī)則來決定系統(tǒng)是否遭受入侵，因此產(chǎn)生規(guī)則的算法直接決定了專家系統(tǒng)性能的好壞。專家系統(tǒng)最顯著的優(yōu)勢是可靠

4、性強(qiáng)和靈活高效，最大的缺點就是很難開發(fā)高效的專家系統(tǒng)。1.3 基于機(jī)器學(xué)習(xí)的異常檢測技術(shù)。機(jī)器學(xué)習(xí)綜合利用統(tǒng)計學(xué)、證據(jù)理論、神經(jīng)網(wǎng)絡(luò)、模糊集、粗糙集、進(jìn)化計算等領(lǐng)域的方法，完成數(shù)據(jù)總結(jié)、概念描述、分類規(guī)則提取、數(shù)據(jù)聚類、相關(guān)性分析、偏差分析、序列模式發(fā)現(xiàn)等任務(wù)。機(jī)器學(xué)習(xí)方法是用檢測對象的正常行為實例樣本進(jìn)行學(xué)習(xí)機(jī)訓(xùn)練，一旦訓(xùn)練完成，就建立了該檢測對象的正常行為特征輪廓；在檢測中，將檢測對象當(dāng)前行為的特征度量輸入學(xué)習(xí)機(jī)，學(xué)習(xí)機(jī)經(jīng)過運算輸出一個異常判別值，從而實現(xiàn)對檢測對象的異常檢測。1.3.1 貝葉斯網(wǎng)絡(luò)。貝葉斯網(wǎng)絡(luò)是根據(jù)各個變量之間的概率關(guān)系建立的圖論模型，因此可用貝葉斯方法解決人侵檢測系統(tǒng)中

5、的不確定知識.。實際應(yīng)用中，網(wǎng)絡(luò)中每個節(jié)點代表一種測度及其概率分布，對于根節(jié)點，概率分布是不依賴其他測度的，即是客觀概率；對于子節(jié)點，它是以根節(jié)點為條件的條件概率，輸入各測度的當(dāng)前值后，該網(wǎng)絡(luò)就能輸出一個考慮到測度之間關(guān)系的綜合異常評價意見。1.3.2 馬爾可夫模型。馬爾可夫模型主要有兩種不同的方法：馬爾可夫鏈模型和隱馬爾可夫模型。一個馬爾可夫鏈就是由狀態(tài)轉(zhuǎn)移概率相關(guān)聯(lián)的一系列狀態(tài)變換，由此構(gòu)成了該模型的拓?fù)浣Y(jié)構(gòu)。在初始的訓(xùn)練數(shù)據(jù)階段，通過正常的系統(tǒng)行為得到概率。在隨后的異常檢測階段，通過對檢測行為序列評估得到一個數(shù)值（主要與概率相關(guān)）與我們事先設(shè)定的門限值比較判斷是否發(fā)生入侵。而隱馬爾可夫模

6、型將狀態(tài)及其轉(zhuǎn)換隱藏，僅僅能看到其觀察值。1.3.3 神經(jīng)網(wǎng)絡(luò)。利用神經(jīng)網(wǎng)絡(luò)檢測入侵的基本思想是用一系列信息單元訓(xùn)練神經(jīng)元，通過訓(xùn)練和學(xué)習(xí)過程來修改網(wǎng)絡(luò)互連權(quán)值，這樣在給定一組輸入后，就可能預(yù)測輸出。神經(jīng)網(wǎng)絡(luò)方法已被應(yīng)用到創(chuàng)建用戶配置文件，從先前的命令序列來預(yù)測下一個命令，以及確定入侵行為的流量模式等。神經(jīng)網(wǎng)絡(luò)不依賴于任何有關(guān)數(shù)據(jù)種類的假設(shè)，能處理噪聲數(shù)據(jù)，實現(xiàn)簡單，但神經(jīng)網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)的形成不穩(wěn)定，且易陷于局部極小，學(xué)習(xí)時間長！而且對判斷為異常的事件不能提供解釋或說明信息。1.3.4 模糊邏輯技術(shù)。模糊邏輯來源于模糊集理論。其主要研究近似推理。我們一般使用模糊變量來判別是否發(fā)生入侵。如果模糊變

7、量在給定的范圍內(nèi)，則認(rèn)為系統(tǒng)正常。模糊邏輯技術(shù)在端口掃描和探測被證明非常高效。但其較高的資源消耗率是我們目前亟待解決的問題。1.3.5 遺傳算法。遺傳算法是計算數(shù)學(xué)中用于解決最優(yōu)化的搜索算法，是進(jìn)化算法的一種。遺傳算法構(gòu)成另一種類型的機(jī)器學(xué)習(xí)的技術(shù)，它能產(chǎn)生的分類規(guī)則或選擇適當(dāng)?shù)墓δ芑蜃罴褏?shù)的檢測過程。遺傳算法是解決多目標(biāo)優(yōu)化問題的算法，對于求解最優(yōu)化問題效率高。它的優(yōu)點是靈活，不用事先了解系統(tǒng)的活動的先驗知識，而缺點就是資源消耗率高。1.3.6 聚類和孤立點檢測。聚類技術(shù)就是將數(shù)據(jù)集根據(jù)給定的相似度或者距離進(jìn)行歸類。聚類算法的一般過程是選擇一個點作為該簇的中心點，選擇幾個點就是分為幾簇。然后新的數(shù)據(jù)點根據(jù)和這些中心點的鄰近程度劃分到那個簇中。最后某些點可能不屬于任何簇，這些店被命名為離群點，代表檢測過