3、弥合语义鸿沟：基于异常的入侵检测系统中的人为因素

弥合语义鸿沟：基于异常的入侵检测系统中的人为因素

1. 引言

网络入侵检测系统（IDS）通常可大致分为两类：一类试图检测“滥用”（通常包括基于特征的方法），另一类试图检测“异常”。

1.1 滥用检测

滥用检测通常依赖静态规则（即“特征”）来检测恶意活动。与明确定义的规则精确匹配的活动会被标记为潜在恶意，并进行进一步的处理或分析；而任何不匹配任何特征的活动则被认为是安全的。这种方法到目前为止被证明相当有效，例如滥用检测器Snort可能是当今使用最广泛的入侵检测系统之一。滥用检测方法通常具有可接受的低误报率，并且在有足够计算资源的情况下，能够检测到其特征库中包含的任何攻击。然而，这种低误报率是有代价的，由于滥用检测所需的特征具有高度特异性，它通常无法有效检测针对新漏洞的新型“零日”攻击，因为尚未为这些攻击开发出有效的特征，并且需要不断维护特征数据库。

1.2 异常检测

异常检测通常试图通过将机器学习和统计分析的强大工具应用于入侵检测问题，来检测现有攻击的变体或全新类型的攻击，以填补滥用检测的不足。这些方法在入侵检测系统的学术文献中相当普遍，但实际上部署到实际应用中的异常检测系统却很少，而且没有一个的应用规模能接近Snort或Bro等滥用检测系统。

异常检测系统应用较少可能有以下几个原因：
- 误报率高得令人无法接受。
- 入侵检测系统研究中分类问题的严重倾斜性质。
- 缺乏有用的测试数据。
- 异常检测研究人员倾向于将入侵检测系统视为一个黑盒，很少考虑其在整个入侵检测过程中的操作角色或安全策略的特定性（即“语义鸿沟”）。

接下来，我们将研究文献中几种异常入侵