毕业论文：浅谈入侵检测技术文档35页

安全官员还能利用详细的观测资料做后续的评估。

安德森的报告为和美国著名的数据安全公司的早期工作提供了蓝图。

在年代中期，入侵检测技术方面的许多工作都被他的思路深深影响。

以模型为代表的个更为有效的解决途径就是入侵检测技术。

它具有简单实用的特点，并且透明度高，可以在不修改原有网络应用系统的情况下达到定的安全要求。

但是，防火墙只是种被动防御性的网络安全工具，仅仅使用防火墙是不够的。

首先，入侵者可以找到防火墙的漏洞，绕过防火墙进行攻击。

其次，防火墙对来自内部的攻击无能为力。

它所提供的服务方式是要么法流量中是否包含着恶意的入侵代码，这是远远不能满足用户复杂的应用要求的。

对于以上提到的问题，火墙对来自内部的攻击无能为力。

首先，入侵者可以找到防火墙的漏洞，绕过防火墙进行攻击。

其次，防部分内容简介或单独节点。

它具有简单实用的特点，并且透明度高，可以在不修改原有网络应用系统的情况下达到定的安全要求。

但是，防火墙只是种被动防御性的网络安全工具，仅仅使用防火墙是不够的。

首先，入侵者可以找到防火墙的漏洞，绕过防火墙进行攻击。

其次，防火墙对来自内部的攻击无能为力。

它所提供的服务方式是要么都拒绝，要么都通过，不能检查出经过他的合法流量中是否包含着恶意的入侵代码，这是远远不能满足用户复杂的应用要求的。

对于以上提到的问题，个更为有效的解决途径就是入侵检测技术。

在入侵检测技术之前，大量的安全机制都是根据从主观的角度设计的，他们没有根据网络攻击的具体行为来决定安全对策，因此，它们对入侵行为的反应非常迟钝，很难发现未知的攻击行为，不能根据网络行为的变化来及时地调整系统的安全策略。

而入侵检测技术正是根据网络攻击行为而进行设计的，它不仅能够发现已知入侵行为，而且有能力发现未知的入侵行为，并可以通过学习和分析入侵手段，及时地调整系统策略以加强系统的安全性。

入侵检测技术技术研究史审计是最早引入计算机安全领域的概念，像存取文件变更他们的内容或分类等的活动都记录在审计数据中，安全管理员系统操作员和维护人员和普通用户样都要经过行为审核。

安德森提出要建立个安全监督系统，保护那些系统敏感信息。

他还提出应该检查什么如何分析他以及如何保护监督系统免受攻击，这成了今天研究的核心内容。

年代后期，美国政府，包括国防部和国家标准和技术协会支持的计算机安全研究开始了，安全审计也被考虑在这些研究中。

年，安德森提出了另外项报告，这次是针对个空军客户，后者使用大型计算机处理大量的机密数据。

报告中，安德森提出了减少分析数据量的方法，以及比较统计数据和总的观察也就是统计行为，以发现反常的行为。

当个安全违例发生或统计上反常的事件出现时，就会提醒安全官员。

安全官员还能利用详细的观测资料做后续的评估。

安德森的报告为和美国著名的数据安全公司的早期工作提供了蓝图。

在年代中期，入侵检测技术方面的许多工作都被他的思路深深影响。

以模型为代表的早期技术年，为美国海军开展了个审计分析项目。

他基于系统的级的审计数据，论证这些数据能够识别正常和反常使用的区别。

特里萨兰特在为这个项目工作，后来又去了，在那里她参与并领导了入侵检测技术专家系统项目。

项目是年由乔治敦大学的桃乐茜顿宁和彼得诺埃曼开始的，是早期研究中最重要的成就之。

模型基于这样的假设有可能建立个框架来描述发生在主体通常是用户和客体通常是文件程序或设备之间的正常的交互作用。

这个框架由个使用规则库规则库描述了已知的违例行为的专家系统支持。

这能防止使用者逐渐训练误导系统把非法的行为当成正常的来接受，也就是说让系统见怪不怪。

年，特里萨兰特等人改进了顿宁的入侵检测技术模型，并开发出了个。

该系统包括个异常检测技术器和个专家系统，分别用于异常模型的建立和基于规则的特征分析检测技术。

系统的框架如图所示。

顿宁的模型假设入侵行为明显的区别于正常的活动，入侵者使用系统的模式不同于正常用户的使用模式，通过监控系统的跟踪记录，可以识别入侵者异常使用系统的模式，从而检测技术出入侵者违反系统安全性的情况。

论文中的些提法看起来很吸引人，但却并没有多少有力的证据，有些想当然。

顿宁的模型中有个主要构件主体对象审计数据轮廓特征或可称为范型异常记录和行为规则。

范型表示主体的行为特色，也是模型检测技术方面的关键。

行为规则描述系统验证定条件后抽取的行为，他们能„„更新范型，检测技术异常行为，能把异常和可能的入侵关联起来并提出报告。

审计纪录由个行为触发，而且记录主体尝试的行为行为本身行动对准的目标任何可能导致例外的情况以及行为消耗的资源和独特的时间戳标记。

审计记录会和范型进行比较使用适当的规则，那些符合异常条件的事件将被识别出来。

这个模型于特定的系统平台应用环境系统弱点以及入侵的类型，也不需要额外的关于安全机制系统脆弱性或漏洞攻击方面的知识，他为构建入侵监测系统提供了个通用的框架。

中期统计学理论和专家系统相结合年代末，些其他值得注意的系统开发出来，大部分走的是将统计学理论和专家系统结合在起的路子。

有几个系统，特别是在和中，分析引擎把几个商业数据库管理系统比如，聚合在起，发挥他们各自的优势。

由美国国家安全局下属的计算机安全中心开发，用来监控他的系统。

他使用混合的专家系统和统计学分析方法，以及来自应答系统的已检查的审计日志信息，应答系统控制用户的平均值划分没有发生变化时输出个聚类算法在入侵检测技术中的应用原理基于无监督聚类的入侵检测技术算法建立在两个假设上第个假设是正常行为的数目远远大于入侵行为的数目。

第二个假设是入侵的行为和正常的行为差异非常大。

该方法的基本思想就是由于入侵行为是和正常行为不同的并且数目相对很少，因此它们在能够检测技术到的数据中呈现出比较特殊的特性。

比如可以首先假定输出个聚类，从数据集中任选个数据作为这个聚类初始的中心值，然后将每个数据划分到其中的个聚类，方法是判断该数据到哪个聚类的中心值的距离最近，则将该数据划分到这个聚类。

划分完成后，重新计算每个聚类的中心值，方法是计算聚类中所有数据的平均值，把这个平均值作为新的聚类的中心值。

接下来重新将每个数据划分到其中的个聚类，如此反复地进行若干次划分和计算中心值的操作，直到数据的划分没有变化。

算法的优点和缺陷算法的优点是不需要用人工的或其他的方法来对训练集进行分类，并且能够比较有效地检测技术未知入侵攻击。

而且算法有良好扩展性，被广泛应用于各领域。

但是像算法经常在聚类开始前就获得了全部数据即离线的，但时常会有些对在线聚类的需求。

比如存储空间不够记录所有的数据模式，或者系统对时间要求很高，以至于数据还没有全部出现算法就必须开始。

怎么解决这个问题呢大家都知道，算法设计要求中有点就是效率与低存储量需求，所以衡量算法的复杂度有时间复杂度和空间复杂度两个方面。

算法的效率较高，但是得付出较大的存储空间。

下面介绍下迭代最优化算法。

迭代最优化算法输入聚类的个数，个包含个数据的数据集，每个聚类的均值输出个聚类方法随机选取个样本存在于个均值为的聚类中离的距离比离更近将转移到均值为的这个聚类中更新这个聚类的中心值，即重新计算这个聚类中所有数据平均值划分没有发生变化时输出个聚类算法分析对这个算法稍作考虑就会发现它其实是算法的种变形。

算法在每次更新前都要对所有的数据点重新分类，而这个方法每次对个样本重新分类后就进行更新。

但是这种算法更易陷入局部极小值，对全局入侵检测技术效率有影响。

然而它毕竟是种逐步求精的算法，对存储空间要求不高，而且很容易作些改动使得它能处理顺序数据流或需要在线聚类的场合，这也正符合入侵检测技术的环境。

当然，在其他在许多领域也有广泛的应用。

我的构想虽然说衡量个算法的效率有时间和空间两方面的要求，而且时空不可能同时达到最优，但是可以适当地将时空两方面兼顾下，使对聚类分析时的存储空间要求不太高，同时分析过程也不太长。

在这里我再通过个形象的比喻生动地描述下算法和迭代最优化算法，这样通俗易懂，大家可以更清晰地理解这两个算法的优缺点，同时也描述下我的构想，让大家了解下我所设想的算法的可行性和优越性。

比方说我们计算机班位同学去个食堂打饭，若要时间效率最高，必然要求食堂的服务员尽可能的多，但就同学人数来说个服务员就足够了，每人打饭需要分钟，那么分钟就可以解决位同学的问题，效率高，但是这对食堂方面的要求太高，对入侵检测技术来说就是对存储空间要求很高，这相当于算法中的任意选取个数据作为初始的聚类中心，而后重新计算每个聚类中所有数据平均值。

如果食堂条件非常有限，只有个服务员，那么位同学排队打饭就向个顺序数据流，而且第位同学打完饭就回寝室了，对于他来说他的时间效率是最优的，这就是刚才所说的迭代最优化算法更易陷入局部极小值，而对于最后位同学来说时间效率最差，需要等分钟才轮到他。

总体来说这种方式对于食堂方面要求很低，可以节省个别同学的时间，但是对于全局的贡献很有限。

但若有位同学和个服务员，那么每个服务员负责位学生，到最后位同学打完饭共需要分钟，对服务员要求的数量也不多，这种算法还可以。

如果服务员充足的话，还可以再优化些先个服务员每人负责位学生，余下位学生自由选择不同的队列，总共时间为分钟，服务员人数也挺合理。

此算法应用到入侵检测技术中去，对数据进行分析时，可以根据系统存储能力选择些聚类优先进行分析，而后对先分析的这些聚类进行更新。

但是怎么来对聚类分析优先级进行划分呢，可以随机选择，也可以人为地按照定的规则选择，比如二维空间可以划分为四个象限，按照象限逆时针的顺序在每个象限中分析这些聚类，也可划分为对称的个区域，先从第个象限的第个区域和对称的