18、基于机器学习的网络入侵检测系统

基于机器学习的网络入侵检测系统

1. 引言

随着网络的急剧扩展，安全已成为一个重要问题。诸如拒绝服务（DoS）、远程到本地（R2L）、用户到根（U2R）等各种攻击显著增加，严重影响着网络安全。入侵是违反系统安全策略的活动，检测此类入侵或攻击是当前的主要关注点。

入侵检测系统（IDS）有助于检测各种恶意或异常的网络流量和计算机使用情况，这些情况是传统防火墙难以检测到的，或者是用户未知的。它可以检测针对所有易受攻击服务的网络攻击、对应用程序的数据驱动攻击、基于主机的攻击（如未经授权的系统或软件登录、权限提升、访问个人/敏感用户文件和数据）以及恶意软件（病毒、蠕虫和特洛伊木马）。

防火墙和入侵检测系统都是网络安全的一部分，但它们有所不同。防火墙从外部查找入侵，在入侵发生之前阻止它们，禁止网络之间的访问以防止入侵，但如果攻击发生在网络内部，它不会发出信号。而入侵检测系统在检测到可疑入侵后会发出警报，其主要目的是保护主机或网络免受任何可能进入系统并损害数据的恶意或异常活动的侵害。

入侵检测系统主要分为两类：
- 基于网络的入侵检测系统（NIDS） ：通过跟踪网络流量来检测网络中引入的任何威胁或入侵，如拒绝服务（DoS）等。它位于网络上，监控网络中所有连接设备的入站和出站流量。
- 基于主机的入侵检测系统（HIDS） ：安装在客户端系统上，帮助检测通过网络数据包引入到特定主机的任何威胁，例如哪个主机访问了数据，是否存在未经授权的访问等。

根据检测方法，入侵检测系统又可分为：
- 基于特征的入侵检测系统 ：对于已