異常網(wǎng)絡(luò)入侵檢測(cè)技術(shù)

1、異常網(wǎng)絡(luò)入侵檢測(cè)技術(shù)0前言入侵檢測(cè)就是對(duì)企圖入侵，正在進(jìn)行的入侵或者已經(jīng)發(fā)生的入侵進(jìn)行識(shí)別的過(guò)程。所有能夠執(zhí)行入侵檢測(cè)任務(wù)的系統(tǒng)，都可稱為入侵檢測(cè)系統(tǒng)。從數(shù)據(jù)分析手段來(lái)看，入侵檢測(cè)可分為誤用入侵檢測(cè)和異常入侵檢測(cè)。誤用檢測(cè)對(duì)比已知的攻擊所構(gòu)成的數(shù)據(jù)庫(kù)中的數(shù)據(jù)和當(dāng)前數(shù)據(jù)來(lái)發(fā)現(xiàn)入侵。異常檢測(cè)是通過(guò)觀察當(dāng)前活動(dòng)與歷史正常活動(dòng)之間的差異來(lái)發(fā)現(xiàn)入侵，被認(rèn)為是入侵檢測(cè)中最有發(fā)展前景的方法之一。1 異常檢測(cè)技術(shù)異常入侵檢測(cè)系統(tǒng)一般包括以下幾個(gè)模塊。1）數(shù)據(jù)采集模塊。本模塊從被檢測(cè)系統(tǒng)的網(wǎng)卡獲取數(shù)據(jù)，并存儲(chǔ)到特定的數(shù)據(jù)結(jié)構(gòu)中，以備其他模塊訪問(wèn)和使用。2）數(shù)據(jù)訓(xùn)練模塊。我們事先建立好正常（或異常）狀態(tài)活動(dòng)的訓(xùn)練

2、模型并不斷地進(jìn)行更新。3）數(shù)據(jù)檢測(cè)模塊。本階段我們將用戶當(dāng)前的活動(dòng)情況與上階段的訓(xùn)練模型進(jìn)行對(duì)比，如果發(fā)現(xiàn)了超過(guò)閾值的差異程度，則產(chǎn)生告警。根據(jù)訓(xùn)練模型建立的手段來(lái)看，異常檢測(cè)技術(shù)通常可以分為三類：基于統(tǒng)計(jì)分析、基于知識(shí)和基于機(jī)器學(xué)習(xí)。1.1 基于統(tǒng)計(jì)分析的異常檢測(cè)技術(shù)。該技術(shù)通常的做法是根據(jù)用戶對(duì)象的活動(dòng)為每個(gè)用戶都建立一個(gè)用戶特征輪廓表，通過(guò)比較當(dāng)前特征與已建立的以前特征得到一個(gè)偏差，如果這個(gè)偏差大于設(shè)定的閾值，從而判斷當(dāng)前行為是否異常。用戶特征輪廓表需要根據(jù)審計(jì)記錄情況不斷地加以更新。特征輪廓表中包含許多衡量指標(biāo)。例如網(wǎng)絡(luò)流量、每種協(xié)議的數(shù)據(jù)包數(shù)、ip地址等等，這些指標(biāo)值可以根據(jù)經(jīng)驗(yàn)值或

3、一段時(shí)間內(nèi)的統(tǒng)計(jì)值得到。在統(tǒng)計(jì)模型中常用的方法有：方差、馬爾柯夫過(guò)程模型、時(shí)間序列分析。統(tǒng)計(jì)分析技術(shù)由于是選取某段歷史數(shù)據(jù)假設(shè)是正常的數(shù)據(jù)，其缺陷主要是假設(shè)統(tǒng)計(jì)模型的數(shù)據(jù)能正確的反映系統(tǒng)的正常數(shù)據(jù)，實(shí)際中往往很復(fù)雜。1.2 基于知識(shí)的異常檢測(cè)技術(shù)。專家系統(tǒng)是知識(shí)檢測(cè)中應(yīng)用最廣泛的技術(shù)。專家系統(tǒng)的主要工作是把審計(jì)數(shù)據(jù)歸類，一般按照下面三個(gè)步驟歸類。第一步從訓(xùn)練數(shù)據(jù)中確定類別。第二步確定分類規(guī)則和分類程序以及所涉及的參數(shù)。第三步分類成程序根據(jù)分類規(guī)則確定審計(jì)數(shù)據(jù)的類別（入侵或正常）。專家系統(tǒng)是根據(jù)規(guī)則來(lái)決定系統(tǒng)是否遭受入侵，因此產(chǎn)生規(guī)則的算法直接決定了專家系統(tǒng)性能的好壞。專家系統(tǒng)最顯著的優(yōu)勢(shì)是可靠

4、性強(qiáng)和靈活高效，最大的缺點(diǎn)就是很難開(kāi)發(fā)高效的專家系統(tǒng)。1.3 基于機(jī)器學(xué)習(xí)的異常檢測(cè)技術(shù)。機(jī)器學(xué)習(xí)綜合利用統(tǒng)計(jì)學(xué)、證據(jù)理論、神經(jīng)網(wǎng)絡(luò)、模糊集、粗糙集、進(jìn)化計(jì)算等領(lǐng)域的方法，完成數(shù)據(jù)總結(jié)、概念描述、分類規(guī)則提取、數(shù)據(jù)聚類、相關(guān)性分析、偏差分析、序列模式發(fā)現(xiàn)等任務(wù)。機(jī)器學(xué)習(xí)方法是用檢測(cè)對(duì)象的正常行為實(shí)例樣本進(jìn)行學(xué)習(xí)機(jī)訓(xùn)練，一旦訓(xùn)練完成，就建立了該檢測(cè)對(duì)象的正常行為特征輪廓；在檢測(cè)中，將檢測(cè)對(duì)象當(dāng)前行為的特征度量輸入學(xué)習(xí)機(jī)，學(xué)習(xí)機(jī)經(jīng)過(guò)運(yùn)算輸出一個(gè)異常判別值，從而實(shí)現(xiàn)對(duì)檢測(cè)對(duì)象的異常檢測(cè)。1.3.1 貝葉斯網(wǎng)絡(luò)。貝葉斯網(wǎng)絡(luò)是根據(jù)各個(gè)變量之間的概率關(guān)系建立的圖論模型，因此可用貝葉斯方法解決人侵檢測(cè)系統(tǒng)中

5、的不確定知識(shí).。實(shí)際應(yīng)用中，網(wǎng)絡(luò)中每個(gè)節(jié)點(diǎn)代表一種測(cè)度及其概率分布，對(duì)于根節(jié)點(diǎn)，概率分布是不依賴其他測(cè)度的，即是客觀概率；對(duì)于子節(jié)點(diǎn)，它是以根節(jié)點(diǎn)為條件的條件概率，輸入各測(cè)度的當(dāng)前值后，該網(wǎng)絡(luò)就能輸出一個(gè)考慮到測(cè)度之間關(guān)系的綜合異常評(píng)價(jià)意見(jiàn)。1.3.2 馬爾可夫模型。馬爾可夫模型主要有兩種不同的方法：馬爾可夫鏈模型和隱馬爾可夫模型。一個(gè)馬爾可夫鏈就是由狀態(tài)轉(zhuǎn)移概率相關(guān)聯(lián)的一系列狀態(tài)變換，由此構(gòu)成了該模型的拓?fù)浣Y(jié)構(gòu)。在初始的訓(xùn)練數(shù)據(jù)階段，通過(guò)正常的系統(tǒng)行為得到概率。在隨后的異常檢測(cè)階段，通過(guò)對(duì)檢測(cè)行為序列評(píng)估得到一個(gè)數(shù)值（主要與概率相關(guān)）與我們事先設(shè)定的門(mén)限值比較判斷是否發(fā)生入侵。而隱馬爾可夫模

6、型將狀態(tài)及其轉(zhuǎn)換隱藏，僅僅能看到其觀察值。1.3.3 神經(jīng)網(wǎng)絡(luò)。利用神經(jīng)網(wǎng)絡(luò)檢測(cè)入侵的基本思想是用一系列信息單元訓(xùn)練神經(jīng)元，通過(guò)訓(xùn)練和學(xué)習(xí)過(guò)程來(lái)修改網(wǎng)絡(luò)互連權(quán)值，這樣在給定一組輸入后，就可能預(yù)測(cè)輸出。神經(jīng)網(wǎng)絡(luò)方法已被應(yīng)用到創(chuàng)建用戶配置文件，從先前的命令序列來(lái)預(yù)測(cè)下一個(gè)命令，以及確定入侵行為的流量模式等。神經(jīng)網(wǎng)絡(luò)不依賴于任何有關(guān)數(shù)據(jù)種類的假設(shè)，能處理噪聲數(shù)據(jù)，實(shí)現(xiàn)簡(jiǎn)單，但神經(jīng)網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)的形成不穩(wěn)定，且易陷于局部極小，學(xué)習(xí)時(shí)間長(zhǎng)！而且對(duì)判斷為異常的事件不能提供解釋或說(shuō)明信息。1.3.4 模糊邏輯技術(shù)。模糊邏輯來(lái)源于模糊集理論。其主要研究近似推理。我們一般使用模糊變量來(lái)判別是否發(fā)生入侵。如果模糊變

7、量在給定的范圍內(nèi)，則認(rèn)為系統(tǒng)正常。模糊邏輯技術(shù)在端口掃描和探測(cè)被證明非常高效。但其較高的資源消耗率是我們目前亟待解決的問(wèn)題。1.3.5 遺傳算法。遺傳算法是計(jì)算數(shù)學(xué)中用于解決最優(yōu)化的搜索算法，是進(jìn)化算法的一種。遺傳算法構(gòu)成另一種類型的機(jī)器學(xué)習(xí)的技術(shù)，它能產(chǎn)生的分類規(guī)則或選擇適當(dāng)?shù)墓δ芑蜃罴褏?shù)的檢測(cè)過(guò)程。遺傳算法是解決多目標(biāo)優(yōu)化問(wèn)題的算法，對(duì)于求解最優(yōu)化問(wèn)題效率高。它的優(yōu)點(diǎn)是靈活，不用事先了解系統(tǒng)的活動(dòng)的先驗(yàn)知識(shí)，而缺點(diǎn)就是資源消耗率高。1.3.6 聚類和孤立點(diǎn)檢測(cè)。聚類技術(shù)就是將數(shù)據(jù)集根據(jù)給定的相似度或者距離進(jìn)行歸類。聚類算法的一般過(guò)程是選擇一個(gè)點(diǎn)作為該簇的中心點(diǎn)，選擇幾個(gè)點(diǎn)就是分為幾簇。然后新的數(shù)據(jù)點(diǎn)根據(jù)和這些中心點(diǎn)的鄰近程度劃分到那個(gè)簇中。最后某些點(diǎn)可能不屬于任何簇，這些店被命名為離群點(diǎn)，代表檢測(cè)過(guò)