基于组合聚类分析的网络异常检测模型-计算机应用技术专业论文.docxVIP

万方数据 万方数据 Network Anomaly Detection Model Based on Multi-clustering Analysis A Dissertation Submitted to Civil Aviation University of China For the Academic Degree of Master of Science BY JIANG Hua Supervised by Professor YANG Hongyu College of Computer Science and Technology Civil Aviation University of China March 24th, 2013 中国民航大学学位论文独创性声明 本人声明所呈交的学位论文是我个人在导师指导下进行的研究工作及取得的研究成果。尽我所 知，除了文中特别加以标注和致谢的地方外，论文中不包含其他人已经发表或撰写过的研究成果， 也不包含为获得中国民航大学或其它教育机构的学位或证书而使用过的材料。与我 一同工作的同志 对本研究所做的任何贡献均己在论文中作了明确的说明并表示了谢意。 研究生签名 : ?车日期: J。) .马-均 中国民航大学学位论文使用授权声明 中国民航大学、中国科学技术信息研究所、国家图书馆有权保留本人所送交学位论文的复印件 和电子文档，可以采用影印、缩印或其他复制手段保存论文。本人电子文档的内容和纸质论文的内 容相一致。除在保密期内 的保密论文外，允许论文被查阅和借阅 ，可以公布(包括刊登)论文的全 部或部分内容。论文的公布(包括 刊登)授权中国民航大学研究生部办理。 ，2._ …名咛导阳 日期庐1). )作 中国民航大学硕士学位论文 中国民航大学硕士学位论文 摘 要 异常入侵检测是网络与信息安全领域的重要组成部分，它通过分析从计算机系统或 网络中收集的关键节点的数据集，找出其中违反安全策略的数据，即异常攻击行为。采 用数据挖掘技术的异常入侵检测，可以从大量审计数据中挖掘出正常和异常行为模式， 减少因编码和手工分析带来的繁重工作，提高系统的适应性。 聚类分析是数据挖掘中的一个重要方法，适用于分析数据节点之间的内部关联关 系，但现有的单一聚类检测系统检测效率低下，误报率较高，缺乏针对性。基于此，本 文研究了异常入侵检测的相关理论，提出了一种基于组合聚类分析的网络异常检测模型 (Network Anomaly Detection Model Based on Multi-clustering Analysis，NADMBMA)，并 实现和验证了检测模型的可行性与有效性。 首先，论述了异常检测方法的相关基础理论。对异常检测的定义和方法进行了详尽 的研究和分析，并对比了多种常见聚类异常检测方法的优势和不足，为后续的网络异常 检测模型提供方法上的支撑。 其次，设计和提出了 NADMBMA 模型。该模型将整个检测过程抽象为子空间聚类、 密度聚类和证据累积聚类，并采用矩阵聚类算法动态设置检测阈值，构建无监督的网络 异常检测模型。该模型融合了三种聚类算法思想，综合利用了子空间聚类、密度聚类和 证据累积聚类的优点。 第三，实现了 NADMBMA 原型系统。采用 Java 语言和 MVC 三层框架，设计和实 现了原型系统的数据集转换模块、数据预处理模块、核心聚类分析模块以及结果输出模 块，为后续的实验验证提供平台支撑。 最后，对提出的 NADMBMA 模型的可行性和有效性进行验证。通过利用 KDD CUP 99 数据集证明了矩阵聚类阈值选取算法和 NADMBMA 模型的可行性，并通过对比实验 进一步证明了 NADMBMA 模型的有效性。 关键字：网络安全；异常检测；聚类；证据累积；子空间 I Abstract As an important part of network and information security, intrusion detection identifies the abnormal data and aggressive the behaviors which violate the security policy through analysis of the key points collected from network. Based on data mining anomaly detection, digging out the normal and abnormal behavior patterns of audit data, can reduce the heavy original coding work and increase the adaptab