離群點挖掘?qū)nort系統(tǒng)的改進研究.pdf

1、入侵檢測可以分為誤用檢測和異常檢測，Snort系統(tǒng)作為典型的誤用入侵檢測系統(tǒng)采用特征匹配的網(wǎng)絡入侵檢測系統(tǒng)，具有開放源代碼和采用插件機制的特征。Snort采用的入侵特征匹配方法為較低層次的網(wǎng)絡數(shù)據(jù)包特征碼匹配，這種描述入侵特征方式比較復雜，不容易理解。入侵檢測數(shù)據(jù)集KDD99的屬性集對各種入侵特征進行了比較好的抽象概括，利用KDD99數(shù)據(jù)集的屬性集進行入侵檢測具有更好的可理解性，更簡潔，效率更高，能更準確的檢測到各種入侵類型。本研究通過

2、對入侵和特征屬性進行分類分析并對屬性集的各個屬性計算信息增益，按信息增益由大到小排序，選擇信息增益較大的部分屬性進行改進的Snort系統(tǒng)入侵檢測。Snort系統(tǒng)具有誤用入侵檢測系統(tǒng)所具有的較高的檢測效率優(yōu)點，但也存在無法檢測出未知入侵類型的弱點。本研究設計了一種簡單的基于偏差的離群點檢測方法，并將之應用在Snort系統(tǒng)中，使改進的Snort系統(tǒng)具有了對未定義入侵特征的入侵類型的檢測能力。
　　本研究在Snort系統(tǒng)的檢測流程的基礎