模式识别方法在入侵检测中的应用.pdfVIP

nformation Security 模式识别方法在入侵检测中的应用 姜 楠 (天津大学 计算机科学与技术学院，天津 300072) 摘 要：将模式识别方法应用到入侵检测领域 ，用以区分正常和异常的用户或主机行为 。采用 KDD99作为实验数据集，通过计算信息增益 ，从原始数据 中选取对分类结果影响较大的特征属性 ；再 分别选取两种带监督的模式识别方法支持 向量机 (SVM)和多层神经 网络 (MNN)以及两种不带监督的 聚类方法Single—Linkage和 K—Means进行实验 。实验结果表 明，上述方法在入侵检测领域 中具有很好 的应用前景。 关键词：模式识 别 入侵检 测 支持 向量机 聚类 Intrusiondetectionusingpatternrecognitionmethods JIANG Nan (SchoolofComputerScience＆Technology，TianjinUniversity，Tianjin300072，China) Abstract：n1is paper applied paaern recognition techniques to the intrusion detection field to detectabnormaluseror host behaviors．On KDD99 data set，hte information gain measurementhad been used to selecthte related features．Two supervised mehtods，SVM (SupportVectorMachine)aswellasMNN (Multi-layerNeuralNetwork)，andtwounsupervisedmehtods，Single— Linkageand K—Mcanshadbeen implementedandevaluated．n1eresultsshowed thathtoes mehtodsabovehavedemonstrated good detectionratena d lOW false positive rate．which ispromising in intrusion detection field． Keywords：pattern recong ition；intursion detection；SVM ；clustering 入侵监测系统在信息安全领域具有重要 的应用价 转化为大约 7百万条记录 。每条记录包含 42个字段 ，其 值 。入侵检测系统需要 以较高的检测率和较低 的误报率 中第 1到第 41字段为特征属性 。特征属性描述 网络会 区分正常和异常的用户或主机行为 。从某种意义上讲 ， 话 (session)信息，包括 ：连接时间、端 口、源地址 、目的地 入侵检测 问题可 以看作是一个分类问题 ，因此笔者将模 址等。第 42字段为标记字段 。每条记录都被标记为正常 式识别 中的分类和聚类方法应用到入侵检测领域 。并且 或者是 以下 四种特定类型的异常行为之一 ：(1)D0S—— 在应用 中基于 以下三个直观假设 ：(1)正常和异常行为 拒绝服务攻击；(2)R2L—— 非授权远程访 问；(3)U2R—— 具有较大差异；(2)属于 同一种类型的异常行为有较大 的 非授权 使用本地超 级用户 特权 ；(4)pmbing——扫描攻 相似性；(3)某种特定 的异常行为在不 同的环境 中可能 击 。 通过修改参数而产生很大变化。同时选取模式识别中两 在实验 中，加入了两种新的标记取代原始标记 。(1) 种带监督 的分类方法 ：支持 向量机 (SVM)和多层神经 网 二元标记 (L2)：如果一条记录是异常行为 ，标记为 1；如 络 (MNN)，训练它们识别正常行为和异常行为 以及识别