数据挖掘分析报告计算机网络安全,数据挖掘技术在网络安全中的应用

1.引言

随着互联网的飞速发展，网络给走进了人们的生活、娱乐和工作中，但互联网的开放性和安全性是一对矛盾体，因此由于互联网的无主管性、跨I目性、不设防性，网络给人们带来便利的同时，网络安全问题越来越突出。网络入侵检测是网络安全系统的重要组成部分，其对未经授权的使用、滥用网络资源的行为进行检测，具有保护信息完整性、机密性作用。

网络入侵检测方法包括异常入侵检测和误用入侵检测方法。误用入侵检测方法认为异常行为和正常行为之间的交集很大，其检测结果与检测知识库完备性密切相关，不能发现新入侵行为，检测结果没有实际意义，因此异常入侵检测方法是当前网络入侵检测要研究方向。基于异常入侵检测系统采用技术主要有统计法、贝叶斯网络、神经网络和数据挖掘等方法。基于统计的异常入侵检测是最为传统的网络入侵检测技术，其只能对小规模网络检测，对大大规模网络存在检测速度，效率低的缺陷。贝叶斯网络、神经网络检测速度快，但是误警率较高，自适应能力较差，不适合于现代入侵手段多样化互联网。数据挖掘技术主要对互联网导审计纪录进行分析，从中挖掘隐含的、实现未知的潜在有用信息，并用这些信息去检测异常入侵和已知的入侵，成为当前最主要的网络入侵检测工具。其中人工免疫是近些年发展起来的新的数据挖掘方法，是受到生物免疫启发发展而来的，具有布式计算，自适应和自我监控、动态学习能力，能够克服传统技术中存在的一些缺陷，能够其动态性适合系统环境变化，从而实现对未知攻击的实时防御，因此人工免疫算法为网络入侵异常检测提供了一个崭新思路和有效的方法。

由于网络入侵检测系统与人工免疫系统工作原理具有很大的相似性，针对网络入侵检测的特点，本文提出一种人工免疫网络入侵检测方法，将其应用于网络安全防范中。

2.网络入侵检测原理

网络入侵检测是一种主动的安全防护措施，它从系统内部和各种网络资源中主动采集信息，分析可能的入侵攻击行为，有效地扩展系统管理员的安全管理能力，提高信息安全基础结构的完整性。网络入侵检测系统模型如图1所示。

图1 网络入侵检测系统模型

网络入侵检测系统就是防止内部和外部的入侵行为对网络系统的侵害。而人工免疫系统足识别自体和非自体，保护人体不受外来病原侵害，其角色类似于网络系统中的入侵检测系统，而其它方法没有这样优越性，因此，本文将人工免疫系统引入到网络入侵检测系统中，建立一种基于人工免疫的网络入侵检测系统，很好的解决网络统中发生频繁的、形式变化多样的入侵和攻击检测问题，从而提高网络系统的安全性。人工免疫和网络入侵检测系统的映射关系如图2所示。

图2 人工免疫和网络检测系统的映射关系

3.人工免疫的网络入侵检测系统

3.1 网络入侵检测模型设计

3.1.1 抗体/抗原

在网络入侵检测系统中，抗原(Ag)为网络中对外来入侵的免疫，即表示网络中待检测的网络数据，抗原集合定义为：

Ag=(Ag1，Ag2，...，Agi)，(i=1，2，...，n)  (1)

在网络入侵检测系统中，抗体表示入侵检测系统，抗体集合定义为：

Ab=(Abl，Ab2，...，Abi)，(i=1，2，...，n)  (2)

3.1.2 自我/非自我

在基于人工免疫的网络入侵检测系统，首先面临问题是如何定义自我和非自我，对于不I司的领域，其定义不同。对于网络入侵检测系统，自我表尔计算机网络中正常的连接集合，而非自我表示自网络攻击的IP数据包，客户越权使用网络服务，违反信任机制，非法网络服务访问，通过绕过网络安全设备，冒充合法客户等。

3.1.3人工免疫系统的编码

在人工免疫系统中，对抗体和抗原表示方式，目前有二进制和实值向嚣两种表示方法。对于网络入侵检测系统，由于每一个网络数据样本包含多个特征属性，其中一些是离散数据，另一些是连续数据，由于二进制编码方式比较成熟，且编码方式录活，因此本文采用二进制编码方式对抗体和抗原进行编码。

3.1.4 检测器构造

基于人工免疫机制入侵检测系统中，检测器相当免疫系统的淋巴细胞，主要足对外来人侵进行检测。

1)检测器集合的产生。在网络入侵检测系统中，由多个检测器组成检测器集合。首先产生一个自我的字符集合，即正常的网络连接。然后根据免疫系统的阴性选择原则，得到成熟检测器集合。因此产生的成熟检测器集合和自我的字符集合不匹配，两者是互补的，即这个过程叫入侵“审查”。成熟检测器的产生过程如图3所示。

图3 成熟检测器的产生过程

2)检测器的构成。在网络入侵检测系统中，检测器是用固定长度的二进制字符串来表示，是通过r连续位匹配来实现对异常入侵的检测。因此每一个检测器由检测字符串、生成时间、属性域、匹配域四个部分组成。

3)检测器的生命周期。在网络入侵检测系统中，网络状态具有时变性，因此检测器必须能够对网络时变性进行检测。在基于人工免疫的入侵检测系统中，每个检测器生命周期主要包括产生、成熟、检测和死亡4个阶段，同时检测器分为未成熟的、成熟和记忆检测器3类。检测器的生命周期如图4所示。

图4 检测器的生命周期

采用伪随机序列随机产生新的检测器，在阴性选择前保持未成熟状态，这是未成熟检测器与“自我”中的每一个字符进行匹配，若相匹配，那么丢掉该未成熟检测器，否则，就将其加入到成熟检测器中。