15、复杂网络数据挖掘在自适应入侵检测中的应用

复杂网络数据挖掘在自适应入侵检测中的应用

1. 引言

入侵检测是识别计算机网络中入侵或滥用行为的方法，这些行为会损害网络的机密性和完整性。入侵检测系统（IDS）是一种安全工具，用于监控网络流量并检测网络中的未经授权活动。最初，基于主机的 IDS 被实施，它位于服务器机器上以检查内部接口，但随着计算机网络的发展，逐渐转向基于网络的 IDS。基于网络的 IDS 监控和分析网络流量，以检测来自内部和外部入侵者的入侵。

目前，许多数据挖掘算法已被智能计算研究人员广泛应用于大量网络审计数据中，以检测已知和未知的入侵。然而，现有的商业 IDS 存在许多缺点，如对不同类型网络攻击的检测率低且不平衡、误报率高、在高速网络中响应时间长以及入侵检测训练数据集中存在冗余输入属性等。理想情况下，IDS 的入侵检测率应为 100%，误报率为 0%，但这很难实现。

应用挖掘算法进行自适应入侵检测的过程包括收集网络审计数据，并将收集到的审计数据转换为适合挖掘的格式，最后开发用于入侵检测的聚类或分类模型，通过发现入侵模式为入侵管理提供决策支持，以检测已知和未知的入侵。

2. 入侵检测

入侵检测是监控和分析网络流量的过程，它利用传感器数据收集信息，以检测来自内部和外部网络的入侵，并将攻击情况通知网络管理员或入侵预防系统（IPS）。入侵检测大致可分为三类：误用检测模型、异常检测模型和混合检测模型。
| 特征 | 误用检测模型 | 异常检测模型 | 混合检测模型 |
| — | — | — | — |
| 检测准确性 | 高（针对已知攻击） | 低 | 高 |
| 检测新攻击 | 否 | 是 | 是 |
| 误报率 | 低