信息論在異常檢測(cè)中的應(yīng)用

1、維晉資計(jì)I 信息論在異常檢測(cè)中的應(yīng)用葉惠敏潘正運(yùn)(解就軍信息工稚大學(xué)電子技龍學(xué)院，鄭州450004)E-mail ；co0nut8866aina.c«n摘要異常獨(dú)利能有效此捷劇出析挺型的攻擊*但是n前丸多數(shù)入徑撿測(cè)使用杓異常検測(cè)提術(shù)都快走蹬搶推早，遇帶 是姐過反復(fù)軸賓臉建血檢測(cè)模型，遣樣倉魚妁犠型只適用于某卷環(huán)境*不具有遇用柱。建丈提出了一科可以持導(dǎo)畀索捷 洲妁理論廉膳荷産論'奔細(xì)了應(yīng)用雇井常槪測(cè)中的兀轉(zhuǎn)伉息論的方?jīng)Q,包括炳*條祥蜻.相對(duì)率杵)搐肚息蟹。利用 這嗟方法可必栩?qū)М惓Ｄ＠锿枇⑦^衆(zhòng)和禪釋模聖牲能。最啟訛丈述通過舉対優(yōu)明了這科理論的可行性和疊垂性n 關(guān)詞 強(qiáng)息論 嫡

2、親件箱 相時(shí)條件)第 a卷螯 規(guī)津性文拿第號(hào)1002-8331-(2003)09-01 B5-03文藍(lán)標(biāo)識(shí)碼A 中圈分婁號(hào)TP393The Application of Information-TheoreticMeasures to Anomaly DetectionYe Huiming Pan Zhengyun(Institute of Electronic Technology,the PLA Infonruilion Engineering University,Zhangzhou 450004) Abstract； AnomaJy detection is an effrelive

3、pnitection mechanisms against novel alUck.BuL must current ancmaJy detection techniques bkiild model through expensive Inal-ami-rmr practice where thEre i& no theoretical guideline .His pap«r prvpuscs u theoretic base a* the gyLfklin# <br the ammidy detection and introduces uveral LnforT

4、nHikjn-theordic measuresJndudientropyPcondiiiona entropy»relaiivt condiuonal entropy and iidbrmation gai“-These measures can be used k> guide the model building process and to explain the perlorrnajicc of the mndel.The papr al&o explains ihr ftaiibilily and necessity of this theory throu

5、gh examplesKeywonkj inlbrmalioii theory tcntmpy TcondLtiunaJ ntrupy T Ttllal i (con di lion al) entivpy h inlbrmulion gain h regularit1.維晉資計(jì)I 維晉資計(jì)I 1引言人慢檢#I (ntnLon Deletion *1D是一種非常3要的網(wǎng)絡(luò) 安全機(jī)制"人侵檢測(cè)瘵統(tǒng)UD釣收集垂撓和網(wǎng)蠟數(shù)抵(例憶尸 dump,通過分析其中的信息來判宦是否有人擾行為我生°兩 種常見的人侵檢需技水是溫用檢離和舁常檢SL注用檢闊足根據(jù)已知的人樓行為建芷農(nóng)型.這種方法將

6、捽 測(cè)器收集到的數(shù)據(jù)與從訓(xùn)境數(shù)據(jù)中學(xué)習(xí)到的攻擊模式進(jìn)行比 較.若收集到的數(shù)據(jù)與某些已知的玫擊模式匹配則說明械現(xiàn) 察數(shù)據(jù)存在人氓行為。但這種方法不能有效地檢滯出新類型的 攻擊即那些訓(xùn)練獨(dú)據(jù)集中沒有的攻擊摸式。耳常檢測(cè)I方袪根拯正常行為建立摸型.該方旌將收集到的 數(shù)據(jù)與從訓(xùn)練集中學(xué)習(xí)到的正常行為摸式進(jìn)行比較*若操測(cè)器 收集到的數(shù)據(jù)與正常抒為存在很大怕琵,則議認(rèn)為來自于人侵 行為。異歳檢測(cè)可味有敷地檢測(cè)出未知的或新的攻啟*目前許事IDS都使用盜用檢測(cè)+而不是異常檢測(cè).原因是 異常檢周常常會(huì)產(chǎn)生戦髙的淚警率，從而降低了檢圖的敦率° 但鷹關(guān)査表聘，即使是目前最先進(jìn)的【DS,也無法很有效地檢 渕

7、出新類戰(zhàn)的入僥行為.而且IDS升縊的速度述迖趕不上黑容 “攻擊“模式的更新°異井檢測(cè)是萌國新型攻擊的去鍵.所以必 須發(fā)展有敢可翕的異常檢測(cè)社術(shù)以提高系軌及網(wǎng)第的抵杭新 類壁人侵抒為的能力。在丈李數(shù)的計(jì)嘛環(huán)境中*常常是通過審計(jì)數(shù)據(jù)日志睪規(guī)察 于対象的行為(例如一牛用戶* 一乍桎序或個(gè)網(wǎng)絡(luò)元索 尊弭異常檢測(cè)的基本前提鍍足審計(jì)救犧貝有與正常行為一致 的內(nèi)在特征或規(guī)律性。所以建JL-t異常檢制過程的笫一步就 是首先研究數(shù)據(jù)的特征然后選擇一平最能利用這種特征進(jìn)行 檢謀的模型“轎而由于解少理論皐礎(chǔ)和有效地描述散據(jù)特征的 工具*尢窯載的異常檢稱模型僅僅依ST專家”対識(shí)或報(bào)據(jù)直覺 朮建立的、這對(duì)于日

8、益復(fù)雜龐尢的網(wǎng)堵來說是扱茸不可靠的° 況且大界數(shù)的異常梅測(cè)的研覽僅針對(duì)某種特星的情況*它們并 不適用于普遍的環(huán)境，所反這方面的研究結(jié)果柱往帖及不到該 領(lǐng)域的本質(zhì)*不能解決普鑿存在的問題，進(jìn)面也就不能設(shè)什岀 適用于大多數(shù)壞境的異常檢離模型。蟻文旨在提出一種能槌離【DS舁常槍測(cè)技術(shù)有救性的理 論慕槪t文章篷誼了幾種用于異常松測(cè)的信息論方憩，包括焰+ 條件爛.相對(duì)條件嫡和信息壘。這些方袪可以用于描述一十審 計(jì)數(shù)據(jù)集的婷征、建眾含適的異常檢測(cè)模型，還可氐用來評(píng)怙 摸塑的檢測(cè)性能。2惜息論方法爛在信息論與通信理論中繪一個(gè)很禎要曲WE念*它能術(shù)量 出所收集到的信息的不確癥性B2.1 M定義1:X

9、是一亍數(shù)據(jù)集，©足數(shù)據(jù)井類集合，在數(shù)據(jù)集X 中毎個(gè)敷據(jù)項(xiàng)工都厲于個(gè)類，即hwG則X相對(duì)于這 分類的烷定義為：維晉資計(jì)I 維晉資計(jì)I 作者介七葉B®(I978-)f女，預(yù)士硏究生*主要研究方荷為人履檢測(cè)需正運(yùn)男，牲慢.主要翻究方創(chuàng)為網(wǎng)曙安全口計(jì)算機(jī)工程與應(yīng)用 2003.9 185維晉資計(jì)I 口刃是工在X中出現(xiàn)的概率:"對(duì)煽的典型的解輕就是它規(guī)進(jìn)了對(duì)一個(gè)數(shù)器項(xiàng)的分類進(jìn) 存編碼所需的比特¥數(shù)當(dāng)類的分布不均衡時(shí)，也就是出數(shù)皓 比較單一時(shí)，爛的值就較小例如所育的數(shù)據(jù)項(xiàng)都屬于一亍類 時(shí)，軸的值即為S韜反當(dāng)類的分布較平均時(shí)也就是豈數(shù)據(jù)類 型校雜時(shí).爛的值就牲大.例如若

10、獨(dú)據(jù)項(xiàng)都平均分布生IQI個(gè)類 屮則將需要畸1心個(gè)比特対個(gè)類進(jìn)行編碼c對(duì)于異常檢測(cè)，可LU利用爛來衡量審計(jì)數(shù)據(jù)的規(guī)律性口 亍審計(jì)數(shù)惟握中的毎一個(gè)唯-的記錄都代表了-個(gè)類*鳩越 小不同記錄的個(gè)數(shù)就越少【即冗余度趣髙人這表明審計(jì)數(shù)據(jù) 就更具有規(guī)律性"高度規(guī)律性的數(shù)據(jù)包含的冗余度有利于預(yù)測(cè) 將來要覽生的事件因?yàn)樵跀?shù)抵集中杵事重刼出現(xiàn)的事件表明 它們?cè)趯砣杂锌赡芾L生°因此"利用爛值較小的敢據(jù)集建立 的異常檢関模衛(wèi)將具有更好的檢測(cè)性能"例如.如果一個(gè)審計(jì) 數(shù)據(jù)集包括一個(gè)用戶命令數(shù)粥畫“梵中所有的命令部為mail. 則娟就為X所以一個(gè)規(guī)則就可M確宦苴它任何一沖寧件（

11、如 血為驢常書件。如果審計(jì)數(shù)抿包含許辜申件類裂，則諭值就霍 大于0進(jìn)麗就需鑒建立更窯的模型"2.2條件満定義2：對(duì)給宦F的X的殺件爛宦分布襯華艸乂帕的嬉.即 -T* tB .t|*代"?。┦荋和y的聯(lián)合概誓是給定y后M的條件 槪札由于用尸.稈序利阿塔活動(dòng)的時(shí)間性，這卑需耍術(shù)盤審計(jì) 數(shù)據(jù)的時(shí)間的或序列的持性。利用上面的定義"設(shè)X是一T序 列集合.每一個(gè)元素都表示為佃腸匚皿.苴中毎個(gè)r都 是個(gè)審計(jì)事件:，詵¥是一牛序列集合.每一個(gè)元索祁農(nóng)示為 （釣?zāi)c.,晦）用心則條件埔H（XY）就表明在現(xiàn)療到序列y （即x的前K個(gè)事件）之后，序列*中梵余的審計(jì)爭(zhēng)件還有峯丸

12、的不確定性。（由于y常常是x的一亍子睜列.所以有 鞏巧人對(duì)異常檢関來說*可以利用條件爛來衡址序到之間相互 依賴的規(guī)律性。同樣是條件燒曉小越奸例如.若毎一個(gè)審計(jì)蹤 遊那足同類型的一亍事件序列,im Aoa.bbbbb皿h則條 件埔就為氏這表明爭(zhēng)件序列是確宦a相反，越大的條件爛表陰 序列趣是不確宦的，這祥的模型就超抵建立¥2.3相對(duì)條件集定文：對(duì)于相同的津5分布槪率Pxr說（工|旳之間的 相對(duì)煥為點(diǎn)Eniropylp'q ）= £ 尸“ ）1 普耳豈eC,對(duì)于異常檢圖"常常使用一個(gè)圳練數(shù)鋸網(wǎng)來建直模犁、并 將建立的模型應(yīng)用于測(cè)試數(shù)據(jù)薬"這兩個(gè)S懈集必

13、須具有相同 的（或十分相近的：規(guī)律性，以使斯建立的異常檢測(cè)摸奧其有較 髙的檢園性能。相對(duì)慵可以衡吐這兩個(gè)數(shù)據(jù)幫的規(guī)律性之間的 莖異“敏琳，相對(duì)爛趣小越好C例如，若相對(duì)爛即為儀這表 明這兩個(gè)數(shù)辦塑具有相闔的規(guī)律牲。當(dāng)便用條杵埔來箭蟲序列前后之間的依輕性時(shí)可以用相對(duì)衆(zhòng)件悄來判逗兩個(gè)審計(jì)較猷集之間的建異性"定文4：対相同的率卩刃與機(jī)力） 之間的相對(duì)條件煽為reiCf>ndEntropy（pq ）= X 円工+刃嗨町：孔對(duì)于異當(dāng)檢測(cè)來說，同拝是肚亍值鎚小越好"2.4信息量和分類人桂檢測(cè)實(shí)際上可看作是一個(gè)分類過程；即將審計(jì)數(shù)據(jù)劃 分慮止常散據(jù)類異寫數(shù)據(jù)類（對(duì)應(yīng)于異常撿関）或人樓

14、數(shù)據(jù)類 （対應(yīng)于邀用檢測(cè)九所以也可規(guī)將異席檢関模型看忡楚一個(gè)分 類器“給定一個(gè)訓(xùn)練數(shù)撩集，苴中的記錄曲一組特征進(jìn)行建義. 井且毎個(gè)記錄都屬于一個(gè)類°建立一介分類器的口的就是經(jīng) 過有選擇的）序列的特證值的鬧試，將數(shù)據(jù)集劉分成為不同 的予集即誓個(gè)予期都屬于一個(gè)目標(biāo)類.顯燃+盤后劃分出的予 集越“瓢”.分類器就越準(zhǔn)確因此.當(dāng)理立一個(gè)分類器時(shí).分類 算法需要用大盤的倍息獲取枇來尋找特征，這個(gè)佶息量就是隈 據(jù)特征值劃分?jǐn)?shù)辦集時(shí)的埔的冗余度?；铝xh數(shù)據(jù)集X的A屬性（即特征）的信息址為工 徉故牙.寸如JI '瓦中 巾血皿）足A的一組可能的值左*是出A的值為血 時(shí)扌的一牛子握。如集所有的特征

15、的信息盤祁很小"則分類器的性能就會(huì)很 墾，因?yàn)樵紨?shù)據(jù)集在經(jīng)過分類后，它的子集仍有嗣大的爛、也 就是說產(chǎn)集“不純駡因此對(duì)異常檢灣來說，特征的信息量越大 越好。如杲將序列的陸后依賴杓規(guī)律性用在異常檢測(cè)模型中+乗 件爛均佶息量足直接相關(guān)聯(lián)的例如"個(gè)崖有一個(gè)井類器.它使 用前1個(gè)審計(jì)事件來決宦（即預(yù)測(cè)）粥（1牛事丼應(yīng)屬于驟- 類°對(duì)于這種情況，前0-1牛事件就可看柞是特AE.第"個(gè)事件 看作為一牛類。為方便起見.可以將所有的n-L個(gè)特征祁看作 晝特征乩則往&鈕燒/中.公式的第二項(xiàng)實(shí)質(zhì)上就是給定 拴度為n-l的序列后檢度為II的序劇的條件爛°兇

16、此在建莊 序列模壁時(shí)+條件靖值超小"信息量越大檢測(cè)摸型的性能就 K好“信息盧本：顯燃+躍取的信息盤越拿+檢測(cè)的性能就越好.魅而蕊得的 信息就趣大也就盤昧著所花費(fèi)的成本越髙“對(duì)異常檢関來說. -個(gè)亜要的口標(biāo)就是盡早發(fā)現(xiàn)人侵恬動(dòng)以采取冇效的防卿措 施。信息成本可定丈為處理審計(jì)數(shù)據(jù)井根犧模型進(jìn)行檢測(cè)所需 的時(shí)聞包括的信息障越大+不僅增加了處理審計(jì)數(shù)攜時(shí)間.同 時(shí)也堆卻了摸型的復(fù)雜度"因業(yè)，常常需要在性能寫施本之間 進(jìn)行折衷打鼓簡單的方袪就是可以用準(zhǔn)確率/成本這個(gè)比值來 決定用在摸型中的”戰(zhàn)佳”信息量"3在異常檢測(cè)中的應(yīng)用以上定史的信息論方忠可以在"下幾個(gè)方面應(yīng)

17、用到異常 檢測(cè)中；（1）衡址審計(jì)數(shù)據(jù)的規(guī)律性并執(zhí)行正確豹數(shù)據(jù)轉(zhuǎn)換，車凰 這牛過程就可以槌高用于建立模型的數(shù)據(jù)命的規(guī)律性。維晉資計(jì)I 186 200J.9 計(jì)算機(jī)工程與應(yīng)用維晉資計(jì)I （2）權(quán)據(jù)規(guī)律性離址方世決遲怎樣建立模型+即怎樣達(dá)到 最住椎測(cè)性能或最優(yōu)的性能/咸本比値。（3）便用相対境抉宦-亍換堂垂否適用于一個(gè)新散據(jù)築 （例如從一個(gè)新環(huán)境收集到的散據(jù)嘰應(yīng)用舉例：（】）當(dāng)便用系綁凋屈序列（如sendmAil采址調(diào)用來建立機(jī) 墜時(shí)，條件靖可用來決宦建亜檢測(cè)模型所需站系統(tǒng)澗用序列個(gè) 數(shù)口先獲取一組serdmail蹤跡（每個(gè)蹤跡帚包括連續(xù)的篥竦凋 用。將每個(gè)蹤跡都劃分成一組長麼為11的序列.這個(gè)序列

18、就可 看徉是用來建立模型的戳據(jù)集.搭怕計(jì)算謹(jǐn)數(shù)據(jù)卑的條件爐 設(shè)X代表長度為n的序列.丫為股度為n-1的子序列*兼件靖 "（XIF）就可衡址出fl5n-l個(gè)系統(tǒng)調(diào)用決罡第口個(gè)系址調(diào)用的 規(guī)律性口更艮體地說.就是對(duì)毎一個(gè)keX + 由是工住X中出現(xiàn) 的觀數(shù)只工）是工的快度為葉1的子序列f即若耳仙仏J. 則呻匕剳;比啥&通過改 變m值大小h即可找出遂立模型的喊桂序列亍數(shù)“條件琦還可用于判定是否包括額外的信此有利于提需 檢測(cè)性能"以serdmail蘇址調(diào)用為例”毎一牛申計(jì)記錄都是由 ndmail產(chǎn)生的系統(tǒng)調(diào)用“除了一亍系址調(diào)用名，每一亍審計(jì) 記錄還包會(huì)其它宿息r罰如用戶和用

19、戶組的】1人由系統(tǒng)調(diào)用所 訪何的對(duì)象名稱等口分別計(jì)算只包含系蜿斕用宕和包含梵它信 息的條件靖通過比較埔的大小"就可判崔是幅包插羅外的怙 息能提髙檢測(cè)性能.或包括哪些偌總可以提高檢測(cè)性能。估）異常檢測(cè)中的一 T關(guān)魏冋題就是決定對(duì)彖的”粒度”問 題。例如餐建立用戶行為棋型時(shí)需要決崔是否要為工作日相 周末建立單獨(dú)的特征描述*對(duì)于周末是會(huì)有必要再劃分時(shí)段， 分為上午.中午，晚上等。同樣對(duì)一亍網(wǎng)皓來說.需要抉建是否 需要對(duì)每一個(gè)主機(jī)，眼畀或是二者的結(jié)合建立模型。如果浚有 正摘的理論折導(dǎo)和適當(dāng)?shù)墓ぞ撸韥嵆龅漠惓z熬楔型常常只 適用于輩個(gè)環(huán)境缺乏通用性f可以愷用爛來解決這問題。例 如裡網(wǎng)絡(luò)中*可

20、用晞來衡吐捌堵數(shù)據(jù)的視律性井以此進(jìn)行數(shù) 據(jù)劃分（即對(duì)對(duì)象進(jìn)彳亍細(xì)分兒假說一亍記議中包括：時(shí)風(fēng)IL持 續(xù)時(shí)間，源端.目標(biāo)主機(jī)，觀務(wù)爭(zhēng)。首先計(jì)算廂始數(shù)據(jù)的靖若爛較大.則便用記錄中的目標(biāo)主機(jī)將數(shù)據(jù)悽逬行劃分，若爛仍 很大，則再使用記尬中的腕務(wù)項(xiàng)劃分?jǐn)?shù)據(jù)集戊此英推直到找 到-ttt小的爛這時(shí)劃分出的散據(jù)子集就更艮有規(guī)律性。由趙上的例子可知.信息論可用于描述審計(jì)數(shù)據(jù)的規(guī)律 性井可播導(dǎo)模型的建立和評(píng)怙過程。4結(jié)束語在文章中筆新按出了將信息論應(yīng)用在異常檢測(cè)技術(shù)中的 思想：靖可用于衡凰無序記錄的審計(jì)戳據(jù)集的規(guī)律性；條件嬉 可且用于術(shù)鍛有序記錄的審計(jì)敷據(jù)集的序列前石的規(guī)律性；相 対筋杵）爛可用于衡量兩個(gè)數(shù)據(jù)集規(guī)

21、律性之間的相似性“一個(gè) 特征的信息址可以帶為數(shù)據(jù)分英時(shí)的亍指標(biāo)“這些方法要優(yōu) 于捷它的斤常檢測(cè)方法*因?yàn)榭谇按笕惓z関技術(shù)只適用 于臬些特宇的環(huán)境，井II是經(jīng)過反復(fù)試驗(yàn)建盎的檢測(cè)模堂，而 沒有建立模型和*?釋其性能的理論基礎(chǔ)。文除討論的這醴方施 可以用于推導(dǎo)H常模型建寶過程和制釋模型性能"一旦理解了 規(guī)律性與檢冏性能之間的戔系'在實(shí)際中就可貞貝計(jì)算給定數(shù) 據(jù)嬉的規(guī)律性井以此決毎怎樣建丈檢測(cè)模塑“（收稿日期；2002年4月）參考文獻(xiàn)1-5 Ax）R»nn.A prclivniruuy atlempt Lo &pply dpLeciiQn andl eiTn

22、ahun rh*0ry lo jm“i：sion <1 哲ectionfR.Technical report P Ufepttrlment oi Com- purtf?r Engjinreri ng.,. ChalmenF University of Technolog）' Gotplxirg, Swe= den ,20001W Ijeej Data Mining Framrwark for Gonstniiclirig FtPhire怖 and Mudtls for IrrtniJiijUfi Delectiwi SyMirnufUIPhD1 thtsitLCdiimbia L

23、Triiversiiy 1999 3rT Lant,C E Prcdl 野-Temporal sequence leorni 怦 and djLa red unction far 凹o(jì)maly detectionfCJn:of 5* ACM Conference onConrrpulr&CommLm if«al ion Securily 919984WRpS?W甲信息與編砒理陀（碑芮安：兩北電訊工程學(xué)院出版社- 1嘶玉吳怕修+歸紹升祝宗泰尊命息論與編碼町北京：電子工業(yè)出版社- 1987維晉資計(jì)I 維晉資計(jì)I （上接162頁）善考文獻(xiàn)I. 鄧事龍.旅色系娠理論敦程武況：華中理工大學(xué)出脛社，19902需菲戰(zhàn).神經(jīng)陽絡(luò)簾統(tǒng)理絶M,西安：西塾電子科控大學(xué)出版社丿如6J.蔣建春，馮雀國.網(wǎng)培人侵撿雋訊理與拉術(shù)L町北京：國防工業(yè)出版社*20014.R巖輝，料踞，見紅廝.蔑色乘址與帯經(jīng)兩培融合技術(shù)探娥【耳播機(jī)證 H12000；l：35Srt培”王翻梅一基于神境