數(shù)據(jù)挖掘及時(shí)間序列分析在NIDS中的應(yīng)用課件

數(shù)據(jù)挖掘及時(shí)間序列分析在NIDS中的應(yīng)用

—— 開(kāi)題報(bào)告報(bào)告人高飛導(dǎo)師孫濟(jì)洲2003.1.18數(shù)據(jù)挖掘及時(shí)間序列分析在NIDS中的應(yīng)用—— 開(kāi)題報(bào)告201內(nèi)容提要現(xiàn)有檢測(cè)方法及其不足研究目標(biāo)研究意義研究方案工作進(jìn)度內(nèi)容提要現(xiàn)有檢測(cè)方法及其不足2現(xiàn)有檢測(cè)方法及其不足檢測(cè)方法單一，基本上是基于規(guī)則的模式匹配階段(此處的規(guī)則含義比較窄，如“特征字符串”.與后面提到的規(guī)則不同)?？蓴U(kuò)展性差自動(dòng)化能力低適應(yīng)變種能力差沒(méi)有分析數(shù)據(jù)行為模式能力現(xiàn)有檢測(cè)方法及其不足檢測(cè)方法單一，基本上是基于規(guī)則的模式匹配3NIDS的體系結(jié)構(gòu)及

研究對(duì)象定位人機(jī)交互事件規(guī)則規(guī)則規(guī)則已知規(guī)則對(duì)抗措施事件序列生成器移動(dòng)代理事件庫(kù)規(guī)則發(fā)現(xiàn)及行為分析引擎檢測(cè)引擎規(guī)則庫(kù)決策引擎活動(dòng)監(jiān)測(cè)代理互聯(lián)網(wǎng)活動(dòng)監(jiān)測(cè)代理NIDS的體系結(jié)構(gòu)及

研究對(duì)象定位人機(jī)交互事件規(guī)則規(guī)則規(guī)則已4研究對(duì)象可以依據(jù)以下3個(gè)特征進(jìn)行檢測(cè)的對(duì)象：網(wǎng)絡(luò)連接特征連接的內(nèi)容特征連接的統(tǒng)計(jì)特征主要針對(duì)除了漏洞攻擊外的4類入侵行為:探測(cè)拒絕服務(wù)遠(yuǎn)程攻擊本地用戶非法獲得根用戶權(quán)限研究對(duì)象可以依據(jù)以下3個(gè)特征進(jìn)行檢測(cè)的對(duì)象：5研究主題規(guī)則自動(dòng)發(fā)現(xiàn)（包括攻擊模式發(fā)現(xiàn)和正常模式相關(guān)發(fā)現(xiàn)）行為模式分析與建模（結(jié)合黑客心理）研究主題規(guī)則自動(dòng)發(fā)現(xiàn)（包括攻擊模式發(fā)現(xiàn)和正常模式相關(guān)發(fā)現(xiàn)）6研究主題的預(yù)期目標(biāo)不但要能發(fā)現(xiàn)參數(shù)值具體的規(guī)則，而且要能對(duì)規(guī)則進(jìn)行合并和泛化處理，形成一些非常數(shù)參量的規(guī)則所發(fā)現(xiàn)規(guī)則盡量是時(shí)間獨(dú)立、與趨勢(shì)或變化率相關(guān)的研究主題的預(yù)期目標(biāo)不但要能發(fā)現(xiàn)參數(shù)值具體的規(guī)則，而且要能對(duì)規(guī)7研究意義如何能夠在大量的報(bào)警信息中，與其他關(guān)聯(lián)的信息進(jìn)行比照和分析，進(jìn)行有效的歸納總結(jié)，得出攻擊者意圖，攻擊目的和攻擊心理，并有效鎖定攻擊者。規(guī)則自動(dòng)發(fā)現(xiàn)解決了人工建立知識(shí)庫(kù)的困難。行為分析是IDS技術(shù)的最高境界,是NIDS技術(shù)目前所面臨的巨大瓶頸所在。從學(xué)術(shù)研究向應(yīng)用轉(zhuǎn)化。研究意義如何能夠在大量的報(bào)警信息中，與其他關(guān)聯(lián)的信息進(jìn)行比照8研究方案——數(shù)據(jù)挖掘聚類算法(ISODATA)關(guān)聯(lián)分析(與信息熵結(jié)合)序列分析研究方案——數(shù)據(jù)挖掘聚類算法(ISODATA)9聚類方法可以自動(dòng)按數(shù)據(jù)內(nèi)在的規(guī)律性自組織分類，再對(duì)之進(jìn)行規(guī)律的分析,是一種知識(shí)的發(fā)現(xiàn)過(guò)程ISODATA算法基本描述優(yōu)點(diǎn)聚類方法可以自動(dòng)按數(shù)據(jù)內(nèi)在的規(guī)律性自組織分類，再對(duì)之進(jìn)行規(guī)律10關(guān)聯(lián)分析原理:Apriori算法的核心使用(k–1)-項(xiàng)頻繁集生成候選k-項(xiàng)頻繁集對(duì)數(shù)據(jù)庫(kù)掃描計(jì)數(shù)候選集項(xiàng)計(jì)數(shù)基本算法的瓶頸巨大的候選集數(shù)量多次掃描數(shù)據(jù)庫(kù)關(guān)聯(lián)分析原理:11序列分析算法原理基本描述用途序列分析算法原理基本描述12研究方案——時(shí)間序列分析ARMA(自回歸滑動(dòng)平均)模型研究方案——時(shí)間序列分析ARMA(自回歸滑動(dòng)平均)模型13非平穩(wěn)序列的平穩(wěn)化處理非平穩(wěn)序列的平穩(wěn)化處理14非平穩(wěn)序列的平穩(wěn)化處理示例非平穩(wěn)序列的平穩(wěn)化處理示例15工作進(jìn)度(1)1.2002.10-2002.12調(diào)研，閱讀相關(guān)參考文獻(xiàn)，準(zhǔn)備各方面資料和數(shù)據(jù)2.2003.1-2003.4對(duì)網(wǎng)絡(luò)數(shù)據(jù)和攻擊行為的分析與模擬。3.2003.5-2003.7檢測(cè)規(guī)則的自動(dòng)化生成及通用分析引擎的實(shí)現(xiàn)。工作進(jìn)度(1)1.2002.10-2002.12調(diào)研，閱讀16工作進(jìn)度(2)4.2003.8-2003.11用戶行為模式建模與預(yù)測(cè)的實(shí)