基于模型檢測(cè)的入侵檢測(cè)基準(zhǔn)測(cè)試平臺(tái)研究.pdf

1、隨著網(wǎng)絡(luò)安全的威脅來(lái)源和攻擊手段不斷變化，為了對(duì)不斷變化的攻擊手段實(shí)施檢測(cè)，基于模型檢測(cè)的共性技術(shù)被應(yīng)用于入侵檢測(cè)當(dāng)中，并被已有的研究證實(shí)是能夠檢測(cè)復(fù)雜攻擊的入侵檢測(cè)系統(tǒng)，因此該技術(shù)一經(jīng)提出，即獲得了國(guó)內(nèi)外學(xué)者的廣泛關(guān)注，并形成了一類(lèi)基于模型檢測(cè)的入侵檢測(cè)算法。然而，仍存在若干問(wèn)題亟待解決。一方面，對(duì)于一些常見(jiàn)攻擊類(lèi)型，該類(lèi)算法的檢測(cè)能力如何，目前尚未可知。另一方面，當(dāng)前評(píng)估入侵檢測(cè)算法性能的常用數(shù)據(jù)集是KDD CUP，由于提取數(shù)據(jù)特征

2、的方式不同，該數(shù)據(jù)集不適用于面向“行為”的入侵檢測(cè)算法實(shí)施評(píng)估，而基于模型檢測(cè)的入侵檢測(cè)算法恰恰是根據(jù)攻擊“行為”的特征實(shí)施檢測(cè)。因此，我們迫切需要一種面向行為的數(shù)據(jù)集，從而可以在同一個(gè)平臺(tái)上針對(duì)已有的或者未來(lái)的基于模型檢測(cè)的入侵檢測(cè)算法實(shí)施性能測(cè)評(píng)，這就是本文擬研究解決的問(wèn)題。
　　首先，針對(duì)22種常見(jiàn)攻擊類(lèi)型進(jìn)行分析，根據(jù)其原理提取關(guān)鍵攻擊動(dòng)作序列，獲得其公式模型。其次，在KDDCUP一定的樣本空間內(nèi)，隨機(jī)選取大量的面向連接的

3、攻擊記錄與正常記錄。然后，面向連接映射到面向行為，獲得由大量的基于行為的攻擊記錄與正常記錄組成的數(shù)據(jù)集，由于該數(shù)據(jù)集的構(gòu)建過(guò)程與任何算法均無(wú)關(guān)，因而，可對(duì)面向行為的入侵檢測(cè)算法（類(lèi)）實(shí)施獨(dú)立測(cè)評(píng)。最后，使用該平臺(tái)對(duì)3種基于模型檢測(cè)的入侵檢測(cè)算法和22種類(lèi)型攻擊實(shí)施檢測(cè)，表明了不同算法相對(duì)于不同類(lèi)型攻擊的檢測(cè)能力。
　　仿真結(jié)果證實(shí)：所構(gòu)建的測(cè)試平臺(tái)可有效地評(píng)測(cè)基于模型檢測(cè)的入侵檢測(cè)算法（類(lèi)）；獲得的算法與攻擊類(lèi)型的相對(duì)檢測(cè)能力可為