（计算机软件与理论专业论文）基于人工神经网络的入侵防御模型的研究.pdf

作者：2 0 0 7 级研究生鲍飞龙 指导教师：陈春玲 中文题目：基于人工神经网络的入侵防御模型研究 英文题目：t h er e s e a r c ho fi n t r u s i o np r e v e n t i o nm o d e lb a s e do n 主题词：入侵防御系统，人工神经网络，概率神经网络，多步校正a d a b o o s t ， 仿真实验，k d d 9 9 k e y w o r d s ：i n t r u s i o np r e v e n t i o ns y s t e m ，a r t i f i c i a l n e u r a ln e t w o r k ，p r o b a b i l i s t i c n e u r a ln e t w o r k ，m s c a d a b o o s t ，s i m u l a t i o ne x p e r i m e n t ，k d d 9 9 南京邮电大学硕士研究生学位论文摘要 摘要 目前大多数入侵防御系统都存在检测率较低、误报率较高、整体性能较低的问题。针 对这些问题，给出了基于多步校正a d a b o o s t 神经网络算法，并将其应用于入侵防御系统 中，以提高该系统检测的整体性能。 在深入分析入侵防御系统和人工神经网络的相关理论、技术和方法的基础上，基于智 能互补的观点，给出了基于多步校正a d a b o o s t 神经网络算法，将该算法应用于入侵防御， 建立了一个基于概率神经网络的入侵防御模型。为验证该模型，构建了m a t l a b 仿真实验 平台，采用经过数据预处理的k d d 9 9 数据源，分别对基于多步校正a d a b o o s t 算法的概 率神经网络、b p 网络和r b f 网络进行训练，并将训练好的网络应用到该模型中并进行了 入侵检测仿真实验。实验结果表明，基于多步校正的a d a b o o s t 算法提高了概率神经网络 的分类能力和模型的检测效率，达到检测率9 6 5 4 和误报率1 6 1 的效果，性能优于其他 两种神经网络。 将基于多步校正a d a b o o s t 算法的概率神经网络应用于入侵防御系统，能够解决传统 入侵防御系统检测率低、误报率高的问题，并有效提高检测的准确率和系统性能。 关键词：入侵防御系统，人工神经网络，概率神经网络，多步校正a d a b o o s t ，仿真实验， k d d ，9 9 南京邮电大学硕士研究生学位论文 a b s t r a c t a tp r e s e n tt h e r ea r em a n y p r o b l e m se x i s t i n gi nm o s to fi n t r u s i o np r e v e n t i o ns y s t e m s ，s u c h a sl o wd e t e c t i o nr a t e ，h i g hf a l s ea l a r mr a t ea n d b a di n t e g r a t e dp e r f o r m a n c e t of i n da ne f f e c t i v e m e t h o df o rr e s o l v i n gt h e s ep r o b l e m s ，t h i sp a p e rp r e s e n t sa l la d a b o o s ta l g o r i t h mo fn e u r a l n e t w o r kb a s e do nm u l t i p l es t e pc o r r e c t i o na n da p p l i e st h ea l g o r i t h mi n t o t h ei n t r u s i o n p r e v e n t i o ns y s t e mt oi m p r o v et h ew h o l ep e r f o r m a n c e a c c o r d i n gt ot h ef b r t h e rs t u d yo nt h et h e o r i e sa n dm e t h o d so fi n t r u s i o np r e v e n t i o ns y s t e m a n da r t i f i c i a ln e n r a ln e t w o r k , a n dt h ev i e w p o i n to fi n t e l l i g e n tc o m p l e m e n t a r y , t h ep a p e r p r e s e n t sa na d a b o o s ta l g o r i t h mo fn e u r a ln e t w o r kb a s e do nm u l t i p l es t e pc o r r e c t i o n , w h i c hi s a p p l i e di n t ot h ei n t r u s i o np r e v e n t i o ns y s t e ma n da l li n t r u s i o np r e v e n t i o nm o d e li sb u i rb a s e do n p r o b a b i l i s t i cn e u r a ln e t w o r k i no r d e rt ov e r i f yt h em o d e l ，a tf i r s tam a t l a bs i m u l a t i o n e x p e r i m e n tp l a t f o r mi sc o n s t r u c t e dt h r o u g h 聪；i i 喀t h ep 吲峨粗。dk d d 9 9d a t as m l r c e a n dt h e n t h ep a p e rr e s p e c t i v e l yt r a i n st h ep r o b a b i l i s t i cn e u r a ln e t w o r kb a s e do nm u l t i p l es t e pa d a b o o s t a l g o r i t h m , b pn e u r a ln e t w o r ka n dr b f n c l l r a ln e t w o r ka tl a s t , t h et r a i n e dn e u r a ln e t w o r k sa r e u s e dt oi m p l e m e n tt h es i m u l a t i o ne x p e r i m e m t h er e s u l t ss h o wt h a tt h ea d a b o o s ta l g o r i t h m b a s e do nm d t i f es t e pc o r r e c t i o ni m p r o v e st h ec l a s s i f i e da b i l i t yo fp r o b a b i l i s t i cn c u l a ln e t w o r k a n dt h ed e t e c t i o nr a t eo ft h em o d e l t h ed e t e c t i o nr a t ei s0 9 6 5 4a n dt h ef a l s ea l a r mr a t ei so n l y 0 0 1 6 1 ，m o r e o v e rt h ep e r f o r m a n c ei sb e t t e rt h a nt h eo t h e rt w on e u r a ln e t w o r k s i ns u m m a r y , a p p l y i n gt h ea d a b o o s ta l g o r i t h mo fn e u r a ln e t w o r kb a s e do nm u l t i p l es t e p c o r r e c t i o ni n t oi n t r u s i o np r e v e n t i o ns y s t e mc a nr e s o l v et h ep r o b l e m si nt r a d i t i o n a li n t r u s i o n p r e v e n t i o ns y s t e ms u c ha sl o wd e t e c t i o nr a t e ，h i g hf a l s ea l a r mr a t ea n di t 啪a l s oi m p r o v et h e d e t e c t i o na c c u r a c ya n ds y s t e mp e r f o r m a n c ee f f e c t i v e l y k e y w o r d s ：i n t r u s i o np r e v e n t i o ns y s t e m ( i p s ) ，a r t i f i c i a ln e u r a ln e t w o r k ( a n n ) ，p r o b a b i l i s t i c n e u r a ln e t w o r k ( p m 彤，m u l t i p l es t e pc o r r e c t i o na d a b o o s t , s i m u l a t i o n e x p e r i m e n t , k d d 9 9 h 南京邮电大学硕士研究生学位论文 目录 目录 摘要i a b s t r a c t 第一章绪论l 1 1 研究背景1 1 2 国内外研究现状l 1 3 论文工作3 1 4 论文组织结构4 第二章入侵防御系统关键技术研究5 2 1 入侵防御系统概述5 2 2 入侵防御系统的特征和优点。5 2 2 1 入侵防御系统的特征5 2 2 2 入侵防御系统的优点。 2 3 典型的入侵检测技术。 6 7 2 3 1 异常检测技术7 2 3 2 误用检测技术。 2 3 3 异常检测与误用检测的结合 2 4 入侵检测与入侵防御的关系 8 9 9 1 02 _ 5 入侵防御系统面临的闯题及发展趋势 2 5 1 面临的问题一 2 5 二2 发展趋势 2 6 本章小结 第三章人工神经网络的理论研究 1 0 1 2 3 1 人工神经网络概述。1 2 3 1 1 神经元结构模型1 2 3 1 2 神经元之间的连接一。 3 1 3 人工神经网络的学习方式1 6 3 2 概率神经网络研究1 8 3 2 1 贝叶斯策略。l8 3 2 2 概率神经网络的工作原理1 9 3 2 3 概率神经网络的特点。2 0 3 2 4 概率神经网络对样本数据的要求2 l 3 2 5 概率神经网络的学习算法2 2 3 3 人工神经网络技术应用到入侵防御系统中的优势2 5 3 4 本章小结2 5 第四章基于概率神经网络的入侵防御模型 2 7 4 1 概率神经网络应用于入侵防御系统的可行性分析2 7 4 2 公共入侵检测框架c i d f 模型。2 7 4 3 模型设计的原则。2 8 4 4 模型总体设计结构2 9 4 5 基于概率神经网络的入侵检测模块3 2 4 5 1 多步校正a d a b o o s t 算法3 2 i 南京邮电大学硕士研究生学位论文目录 4 5 2 基于多步校正a d a b o o s t 的入侵检测模块3 4 4 6 本章小结3 7 第五章仿真实验与结果分析3 8 5 1 实验数据3 8 5 2 数据预处理3 9 5 2 1 数据规范化一3 9 5 2 2 主成分分析4 0 5 2 3 数据归一化4 2 5 3 仿真实验4 3 5 3 1m s c - a b p n n 的仿真训练4 3 5 3 2m s c - a b p n n 的仿真测试4 7 5 4 结果分析。4 8 5 5 本章小结4 8 第六章总结和展望5 0 6 1 论文的工作总结。5 0 6 2 今后的研究展望5 0 j 致谢二5 l 附录k d d 9 9 数据的属性表：5 2 参考文献。5 4 攻读硕士阶段发表的论文一 5 7 i v 及混合型威胁的攻击等多种攻击方式。传统的网络安全技术正面临严峻考验。 目前，市场上的大多数网络安全产品都属于静态安全技术范畴，虽然能对防止非法入 侵起到一定的作用，可是对保护网络信息的绝对安全来说还是相差甚远。因此，要进一步 研究一些主动的网络安全防御技术。入侵防御系统( i n t r u s i o np r e v e n t i o ns y s t e m ，i p s ) 作 为一种主动的、积极地入侵防御技术近些年来受到了人们的青睐。虽然已经获得了很大的 进步，但是目前的i p s 仍旧面临着诸多问题，如实时性和适应性差，误报率及漏报率高等 问题，因此我们有必要研究更高效的入侵防御的方法和技术。 正是在这样的背景下，论文在深入研究入侵防御系统关键技术和人工神经网络的基础 上，将概率神经网络应用于i p s ，以提高该系统检测的整体性能。 i 2 国内外研究现状 对于神经网络在入侵检测和入侵防御中的研究，前人已经做了若干研究工作，1 9 8 0 年，a n d e r s o n 做了“c o m p u t e rs e c u r i t yt h r e a dm o n i t o r i n ga n ds u r v e i l l a n c e 的报告【3 】，在 报告中他将计算机系统威胁分为外部渗透、内部渗透和不法行为，并阐明精简审计的目标 在于从安全审计跟踪数据中消除冗余或无关的记录，提出了利用审计跟踪数据监视入侵活 动的思想。这份报告被公认为是入侵检测的开创性工作。1 9 8 4 年1 9 8 6 年，d o r o t h yd e n n i n g 与p e t e rn e u m a n n 联合研究提出了一个实时入侵检测系统模型【4 】，命名为i d e s ( 入侵检测 专家系统) ，它是一个基于主机的入侵检测系统，使用统计方法发现用户异常操作行为并 判断检测攻击。f o x 等最早将人工神经网络应用于入侵检测领域的研究工作 5 1 ，他们提出 将神经网络作为统计分析工具应用于计算机网络上的病毒及其它恶意程序的检测。他们采 用了自组织特征映射( s e l f - o r g a n i z a t i o nf e a t u r em a p 即，简称s o f m ) 神经网络来学习正常 系统活动的特征然后对当前系统活动进行检测如果当前系统活动偏离了正常系统活动的 l 南京邮电大学硕士研究生学位论文第一章绪论 特征，则表明可能是一个病毒或其它恶意程序。1 9 9 8 年，c a n n a d y 提出了用于入侵检测 的多层前馈神经网络 6 1 ，其主要用神经网络进行误用检测。实验结果表明多层前馈神经网 络用于入侵检测能获得较好的性能。r h o d e s 等提出用自组织特征映射神经网络来检测异 常的网络活动【7 j 。 近几年来，国外研究如火如荼，m m j t nk 、砷i l k y o o c h a n gj e o n g 等提出了基于进程行 为的主机入侵防御系统( p r o b e ) 嗍，使一个进程树只使用进程建立关系，然后测量每个边 际权值，以确定是否每个子进程调用造成异常行为。b o - c h a oc h e n g m i n 9 4 e nc h e l a 等提 出了应用于e m a i l 应用程序的一种基于状态和流的入侵防御系统( s i p s ) 【9 】，通过有线状态 机，s i p s 执行并检查所有进入的e m m l 流。v i c t o rs e r d i o u k 提出了在计算机网络中基于行 为的入侵检测和防御模型【l o 】，这种模型依靠正常网络流量建模来检测攻击。m i c h a e le l o c a s t o ，k ew a n g 等提出了反馈学习入侵防御系统( f e e d b a c kl e a r n i n gi p s ，f l i p s ) 1 l 】，它 是一种混合方法，能够阻止二进制编码注入攻击，以保护主机安全。er a m a s u b r a m a a i a n a k a n n a n v 提出了基于数据库的智能多a g e n t 混合入侵防御系统【1 2 1 ，该系统使用统计异常防i 御和基于规则误用防御相结合的方法以检测攻击。t h ns o n g , z h i z h o n gt a n g 等提出了多级 模式匹配架构的网络入侵检测和防御系统i 瑚。c h i h - c h i a n gw u , s u n g h u aw e n 等提出了高 速入侵检测和防御系统的智能架构【 国内的一些学者也进行的相关研究。毛功萍、熊齐邦提出基于策略的入侵防御系统 ( p a i p s ) 巧】，目的在于实现安全管理与网络管理系统真正的结合，以网络管理系统为中介，t 将防火墙技术和入侵检测技术融于一体，实现全新的网络安全保护措施。李健、顾国昌等 提出了一个基于智能代理的分布式主动入侵防御系统【1 6 】，并给出了该系统的详细设计结 构、试验平台以及数据分析。实验结果表明该系统具有实时、可伸缩、主动等优点，能有 效发现并阻止多种入侵行为，可以解决传统入侵检测系统长期以来存在的问题。青华平、 傅彦提出一种基于模式匹配和神经网络技术的分布式入侵防御系统模型【1 7 】，设计一个基 于该模型的入侵防御系统( 称为a d i d p ) 并详细讨论该系统的体系结构、特点和实现技术 等。该模型能够对大型高速分布异构网络进行有效的入侵检测和防御。张广斌、王莉设计 了一种基于神经网络的多a g e n t 入侵防御系统【1 8 1 。马丽、袁津生等将开源入侵检测软件 s n o r t 和l i n u x 防火墙n e t f i l t e r 有机结合在一起，提出一种基于行为的入侵防御系统模型 【1 9 1 ，以木马攻击为例，给出系统的具体解决方案及关键技术。李浩、叶柯提出利用自治 a g e n t 的良好特性，构建基于自治a g e n t 的入侵防御系统模型【2 0 1 ，并详细讨论了结构中各 组件的功能、工作流程和主要特性。周维柏、李蓉设计并实现了一个i p v 6 及其过渡环境 2 南京邮电大学硕士研究生学位论文 第一章绪论 下的入侵防御系统 2 1 】，该防御系统采用了通用入侵检测框架结构，由5 个组件类型组成： 事件组件、分析组件、数据库、回应模块、管理服务器组件，基本上能防御当前绝大部分 攻击。潘仰峰、刘渊提出了一种基于深度防御原则的网络安全模型【勿，在该模型中采用 数据挖掘技术来分析入侵防御系统中的警报。该模型的核心是一个管理着各分支本地安全 策略服务器的全局安全策略服务器，其中每一条分支上的本地安全策略服务器又管理一个 入侵防御系统。对设计的模型进行了性能分析，结果论证了该模型在提升检测率和误报率 方面的可行性和有效性。韩宗芬、陶智飞等提出一种基于自治域的协同入侵检测与防御机 制田】，将受保护网络划分为具有层次结构的安全自治域，在自治域内采用对等结构( p 2 p ) 进行分布式检测和防御，同时通过安全策略描述协同关系、控制安全域内和域间的协同检 测防御，将协同范围限制在与攻击相关的网络区域内，避免不必要的大范围协同通信，降 低协同检测和防御带来的网络开销模拟测试表明，该机制有效实现了协同通信延迟和通 信负载的平衡。张中辉、操家庆等以s n o r t 入侵检测系统和i p t a b l e s 防火墙为实例，构架 了一个基于联动机制的入侵防御系统刚。该系统能够使 d s 入侵检测系统与防火墙联动 运行，利用 d s 的入侵检测能力，动态地为防火墙定制针对各种入侵的过滤规则，实现 对入侵行为的实时阻断。刘昭斌、刘文芝等提出一种。检测防御数据融合分析和数据挖 掘响应”多检测器数据融合和数据挖掘入侵防御模型网。基于多检测器数据融合和数据一 挖掘的i p s ，比现有单一的防护系统更为合理和有效，并在设计中对传统防火墙和入侵检 测联动系统进行了技术上的改进，以解决斟t r a m 玎安全问题和传统 p s 的漏报以及因， 误报而造成的新的d o s 攻击等问题。谢赞福、李吉桂提出了一个基于m u l t i a g e n t 的分 布式入侵防御系统模型 2 6 1 ，该系统模型结合目前几种主要的入侵检测、入侵防御、免疫 原理和数据挖掘技术，实现了入侵检测和实时响应防御的分布化，同时增强了入侵防御系 统的灵活性、可伸缩性、鲁棒性、安全性以及入侵防御的全面性。潘玲、黄云森等提出了 基于s n o r t 的入侵防御系统【2 7 】。该系统是由成熟的包过滤防火墙i p t a b l e s 和经典的入侵检 测系统s n o r t 相结合来实现的，该系统对于主机和网络的安全能有效的防护。目前将概率 神经网络应用于入侵防御系统的论文也陆续见到。 1 3 论文工作 本文主要完成以下几个方面的研究工作： 1 ) 深入理解入侵检测系统、入侵防御系统和神经网络的工作原理。 2 ) 鉴于传统入侵检测技术的缺陷，为了提高入侵检测的灵活性、准确性和效率，提 3 南京邮电大学硕士研究生学位论文第一章绪论 出了一种基于多步校正的a d a b o o s t 算法和概率神经网络相结合的入侵防御m s c - a b p n n 模 型，并对该模型的各功能模块作了详细的论述。 3 ) 分析实验数据源，采用主成分分析方法提取数据记录中与入侵检测相关的特征值， 并将特征值按规则转化，并归一化后作为概率神经网络的输入。 4 ) 训练m s c a b p n n 网络并建立入侵检测模型。利用数据集对m s c - a b p n n 网络进行训 练。 5 ) 测试m s c - a b p n n 网络。向训练好的m s c - a b p n n 网络模型输入新的测试数据，对未 知样本进行检测，以检测率、误报率等指标来评估m s c - a b p n n 。 1 4 论文组织结构 论文内容共分为六章，内容安排如下： 第一章绪论。介绍研究背景、国内外研究现状及本人所做的主要工作。 第二章入侵防御系统关键技术研究。对入侵防御系统的基本概念、特征、优点及发 展趋势和面临的问题做了介绍，分析了典型的入侵检测技术的基本原理。并讨论了入侵检 测与入侵防御的关系 第三章人工神经网络的理论研究。介绍了人工神经网络的基本概念，研究了概率神 经网络的相关知识要点 第四章基于概率神经网络的入侵防御模型。提出了基于概率神经网络的入侵防御模 型，并介绍了模型的设计原则和总体结构，详细阐述了各模块的功能；重点分析了 m s c - a b p n n 入侵检测模块。 第五章仿真实验及结果分析。利用k d d 9 9 入侵检测数据集进行仿真实验，采用主 成分分析方法对数据源进行特征提取，再进行网络训练和测试，并对实验结果进行分析总 结。 第六章总结和展望。对论文进行工作总结，并提出了下一步研究方向。 4 南京邮电大学硕士研究生学位论文第二章入侵防御系统关键技术研究 第二章入侵防御系统关键技术研究 入侵防御系统是一种主动的、积极的防御入侵的系统，它部署在网络的关键路径上， 检测通过它的网络流量。当检测到攻击企图时，它会自动地将攻击包丢掉或采取措施将攻 击源阻断，相对于入侵检测系统的被动检测及误报等问题，入侵防御系统是一种比较主动、 机智的防御系统。本章对入侵防御系统做了全面介绍，概述了入侵防御技术的基本概念， 对其关键技术进行了深入分析。 2 1 入侵防御系统概述 入侵防御系统是指能检测并阻止已知和未知攻击的内嵌硬件设备或软件系统，是近几 年发展起来的新一代安全工具，是一种主动、积极的入侵防范、阻止系统圆。 i p s 能够起到关卡的作用，所有去往关键网段的数据包或网络流量，必须通过i p s 的 检查，因此攻击数据流在到达目标之前，会被腰- s 识别出来，而且i p s 能够立即采取行动， 丢弃或者阻断网络数据包，从而达到防御的目的。i p s 防御模型如图2 1 所示 图2 1i p s 防御模型 2 2 入侵防御系统的特征和优点 2 2 1 入侵防御系统的特征 入侵防御系统的运行特征如下t 1 ) 深层检测 现在的i p s 已经突破传统防火墙的限制，检测对应o s i 模型4 到7 层里的封包内容 5 南京邮电大学硕士研究生学位论文第二章入侵防御系统关键技术研究 ( 相当于t c p i p 模型的应用层) 。由于新型攻击的程序码资料隐藏在t c p i p 通讯协议的 应用层里，侵入防御系统必须具有深入分析能力，以确定哪些恶意流量已经被拦截，根据 攻击类型、策略等来确定哪些流量应该被拦截。 2 ) 串连模式 i p s 须置于受保护网络入口的闸道位置，所有进出内部网络的封包都需要经过i p s 作 深层检测。该特征是i p s 与i d s 在运行上最大的不同之处。i d s 只能在网络的旁路以监听 的模式监听网络数据包，而当i d s 监听到恶意攻击数据包时早已侵入企业内部网络。只 有以嵌入模式运行的i p s 设备才能够实现实时饿安全防护，实时阻拦所有可疑的数据包。 3 ) 即时检测 i p s 必须要能对所有进出受保护内部网络的数据包做到即时监测。若无法实时检测， 当攻击包穿过i p s 后，再欲采取防御措施就为时已晚。 4 ) 线速运行 由于i p s 以嵌入模式串接在内外网之间，它一方面必须对过往的数据包做即时且深层， 的检查和丢弃工作，一方面又让受保护的网络使用者不能因为i p s 的存在而感觉到传输延 迟的情形，所以鸸必须具有高效处理数据包的能力。 5 ) 丰富的入侵检测手段 i p s 必须建立丰富且尽量完备的病毒特征库和入侵特征库。在检测手段上，需将基于 特征的方法与基于统计的方法相结合。同时，应采取智能化的方法来提高对未知病毒或未 知模式攻击的预警能力。i p s 应将对信息系统安全造成威胁的各类因素( 如病毒、入侵行 为等) 的检测与分析融合起来，强调对安全构成威胁的因素进行实时防护，为综合防范提 供了基本前提【3 0 1 。 6 ) 较强的自身防护能力 在实际应用中，i p s 是一类工作在对抗网络环境下具有“指挥控制网络防御特点的 软件系统，必须考虑在攻防对抗环境下的自身生存问题。在技术途径上，采用冗余保护、 通信保密进程隐藏、综合防护等方法来构建上述体系。同时，应当强调技术与管理并重， 把管理放到一个突出重要的位置，以确保i p s 的自身生存能力【3 0 1 。 2 2 2 入侵防御系统的优点 i p s 的优点集中表现在它的主动防御性方面。具体讲有两层含义：对未知攻击的提前 预防和对已知攻击的报警。在某种程度上，i p s 可以看作是带有防御功能的i d s ，被视为 6 南京邮电大学硕士研究生学位论文 第二章入侵防御系统关键技术研究 下一代i d s 的发展方向。在i p s 的检测模块中，其检测能力更加强大，误报率和漏报率 更低，而且它运行在在线模式下，可以实时地进行响应，在这个意义上讲，它相当于是在 原有i d s 基础上加上防火墙的实时阻断功能。 2 3 典型的入侵检测技术 入侵检测技术是入侵检测系统的核心，它直接关系到攻击的检测效果、效率、误报率 等性能。入侵检测技术主要分为异常检测技术和误用检测技术两大类。 2 3 1 异常检测技术 、 异常检测( a n o m a l yd e t e c t i o n ，a d ) 又称为基于行为的检测，异常检测一般先建立 用户行为的正常模型，再将实际观察到的行为与之相比较，以检测与正常行为偏差较大的 行为来判断为入侵行为。对异常行为的检测一般基于统计法，一个用户正常行为模型的建 立往往需要进行多次统计，并且随着观察数据的变化进行周期性更新。为了准确表现用户 行为，在进行统计时需要对观察值进行加权处理 异常检测的优点是：不需要预先知道特定入侵的任何知识，可以检测未知类型的攻击。 另外由于统计模型的更新相对容易，对异常的检测便具有对用户或系统行为的适应性 异常检测的缺点是： 1 ) 并非所有的入侵都表现为异常，而且系统的轨迹难于计算和更新； 2 ) 不同计算环境中选取的用与统计的系统误用也不相同； 3 ) 界定正常行为与异常行为的阀值难以确定： 4 ) 用户行为可能会动态改变或前后不一致； 5 ) 一些入侵只有通过对用户数据的连续观察才能检测，在异常统计中表现为正常的 单个数据可能属于某个入侵行为： 6 ) 由于基于统计的系统需要经过一定时间的学习，一个有准备的入侵者可以精心设 计使统计模型适应他的数据，从而使系统将这类入侵行为标记为正常行为。 异常检测模型如图2 2 所示，系统首先对事件行为进行统计分析，建立正常行为模型， 并定义正常行为判断的基线。检测时，将检测到的行为与预定义的正常行为进行比较，若 与基线的偏差在正常范围之内，则判为正常行为；反之为入侵行为，并做相应响应处理。 7 南 误用检测( m i s u s ed e t e c t i o n ，m d ) ，也称为滥用检测，或者是基于特征的检测。误 用检测建立在对已知的各种攻击行为特征模式的知识积累上。将所监视到的行为与系统内 置知识库的已知攻击行为特征模式相匹配，发现匹配的行为，就按照一定得策略进行响应， 如报警、阻断恶意连接记录日志等 误用检测的优点是：检测过程简单直接，无需训练，对已知攻击检测率高，可以有针 对性的建立高效的入侵检测系统。 误用检测的缺点是： 1 ) 漏报率高，检测范围受已知攻击行为知识的局限，检测入侵行为的能力取决于其 数据库德及时更新程度，维护工作量特别大； 2 ) 难以检测出内部人员的入侵行为，如合法用户的泄露等； 3 ) 无法检测未知的攻击和已知攻击的变种； 4 ) 多种攻击类别检测时整体效率低下。 误用检测的模型如图2 3 所示，误用检测模型中，系统首先将所有入侵行为及其变种， 表达为特定的模式或特征，建立一个入侵模式库。检测时，主要通过分析检测到事件的数 据特征是否在所收集到的入侵模式库中出现而判定是否是入侵行为。 8 2 3 3 异常检测与误用检测的结合 对比这两种检测技术可以发现，误用检测会遵循定义好的模式，能通过对审计记录信 息做模式匹配来检测，但仅可检测已知的入侵方式。而异常检测难于定量分析，这种检测 方式有一种固有的不确定性。所以这两类检测机制都不完美。将这两种方法结合起来，可 以获得更好的性能。异常检测引擎可以使系统检测新的、未知的攻击或其它情况。误用检 测引擎通过防止耐心的攻击者逐步改变行为模式使得异常监测器将攻击行为认为是合法 、的，从而保护异常检测的完整性 就具体的检测方法来说，现在已经有了很多入侵检测的方法，但任何一种方法都有它 的局限性，都不能解决所有问题。因而对于入侵检测方法的研究仍然是当前入侵检测研究 的一个重点。 2 4 入侵检测与入侵防御的关系 i d s 和i p s 都属于入侵防范技术。i p s 的检测过程和采用的检测算法与i d s 相似，只 是在性能上要求更高。i d s 在检测过程中，只是截取复制一定的数据包进行检测，并不影 响网络数据的正常流动；而i p s 则要拦截所有流经的数据包，检测后认为无害的才允许放 行，如果i p s 的处理能力低下，i p s 就会成为网络瓶颈，在客观上造成与服务器遭受攻击 导致无法正常服务相同的结果。因此，在i p s 上使用的检测方法要求效率更高，准确性更 高。总的来说，i d s 只能检测攻击并报警，是被动防御技术；而i p s 不仅能检测攻击，还 能有选择地阻断攻击，是一种主动防御的技术。 9 南京邮电大学硕士研究生学位论文第二章入侵防御系统关键技术研究 2 5 入侵防御系统面临的问题及发展趋势 2 5 1 面临的问题 i p s 作为新兴安全技术，结合了i d s 和防火墙的优势，它能够多层次深入检查数据流 量，主动响应攻击事件。同时它也面i 临着许多问题： 1 ) 单点失效问题 n i p s 通常是以在线模式安装的，所有网络流量必须流经该点，一旦n i p s 发生故障， 不仅无法进行检测和响应动作，还会造成网络中断。这直接影响受保护的内部网络的正常 工作。目前一些i p s 具有f a i lo p e n 功能，保证网络正常使用【3 l 】，但此时n i p s 完全无 法工作，仅相当于一段网络通路。如果能够采取冗余架构的方式，出现故障时，冗余设备 立刻替代故障设备提供入侵防御功能，可以增强n i p s 的的健壮性。 2 ) 性能瓶颈问题 由于入侵防御系统是以嵌入式的方式工作在网络中，需要对网络流经的所有数据包信、 息进行检测、过滤等操作，所以很容易成为系统的瓶颈。所以i p s 设备必须保持与数千兆 或更大容量的网络流量同步，即使i p s 设备有较强的健壮性，i p s 要处理所有的网络流量， 并主动响应，因此仍然存在一个潜在的性能瓶颈。i p s 必须具有高速的数据处理能力可 以采用专门的硬件加速系统，比如网络处理器( 网络芯片) 、专用芯片f p g a 和专用的 a s i c 芯片等来提高i p s 的运行效率。 3 ) 误报漏报问题 由于网络攻击行为的多样性和复杂性，在当前的i p s 系统中，仍然存在着误报和漏报 现象。如果特征规则不是十分完善，那么可能会产生误报现象，导致合法流量也有可能被 意外拦截。对于实时在线的i p s 来说，一旦拦截了“攻击性数据包，就可能会对来自可 疑攻击者的所有数据流进行拦截，从而导致网络合法用户的连接会被阻断。如果入侵特征 没有及时更新或者检测机制不是很完善，也会很容易产生漏报现象，使得网络攻击穿过 i p s 系统进入网络内部，对网络造成严重的损害。目前，很多i p s 系统能够采用了多种检 测技术来降低误报率和漏报率，取得了一定的效果。 4 ) 对入侵防御系统自身的攻击的问题 与其它系统一样，入侵防御系统本身也可能存在安全漏洞，若对入侵防御系统攻击成 功，则导致响应机制失灵，入侵者在其后的行为将无法被记录和过滤，因此要求系统的安 全采取多种防护。随着网络的带宽不断增加，如何开发基于高速网络的检测器( 检测过滤 1 0 南京邮电大学硕士研究生学位论文第二章入侵防御系统关键技术研究 模块) ，仍然存在很多技术上的困难。 2 5 2 发展趋势 以上的问题，正是入侵防御系统在今后应该解决的问题，结合目前技术的现状，我们 可以预测出工i p s 的发展趋势【3 2 1 。 1 ) 智能化入侵防御 由于网络攻击和网络环境的多样性，传统的i p s 建立攻击模式的方式显得很笨拙，往 往不能准确有效的检测网络攻击，面对新的攻击类型更是束手无策。因此，具有自学习能 力的智能化入侵检测技术成为了学术界研究的热点。现阶段，常用的智能化入侵检测防御 有神经网络、遗传算法、数据挖掘、免疫原理等，这些方法主要用于实现入侵特征的辨识 与泛化。智能化入侵检测技术还基本处于研究阶段，其实际应用中还必须解决自学习和自 适应能力，但它将是入侵防御系统的必然发展方向。 2 ) 分布式入侵防御 在大规模网络环境中，单元架构的i p s 不能满足应用需求，同时多个i p s 之闻不能协 调工作，因此需要发展分布式入侵防御技术。分布式入侵防御系统的研究目的是检测分布 式网络攻击，同时应对大型网络的布局，其中的关键技术为检测信息的协同处理和入侵攻鼍 击全局信息的提取。 3 ) 高速网络的入侵防御 现有的网络入侵防御系统由于在捕获、分析数据包速率上的瓶颈，因此一般只有几十 兆的检测速度，而随着百兆、甚至千兆网络的大量应用，如何实现高速网络中的实时入侵 防御将是急需解决的问题。 4 ) 全面安全防御 随着动态防御、多层防御等思想的提出，构建全面安全防御系统成了发展的趋势，即 入侵防御结合数据加密、防火墙、病毒防护等安全技术提供可行的全面解决方案。 2 6 本章小结 本章着重对i p s 进行了分析和研究。首先，引入了i p s 的概念，介绍了i p s 的特征和 优点；然后重点介绍了两种入侵防御技术：异常检测和误用检测，介绍了他们的工作原理， 比较了两者的优缺点。最后，深入分析了i p s 面临的问题和发展趋势。 南京邮电大学硕士研究生学位论文第三章人工神经网络的理论研究 第三章人工神经网络的理论研究 神经网络的概念是在二十世纪中期被提出，一般认为最早用数学模型对神经系统中的 神经元进行理论建模的是美国心理学家麦卡洛克( w m e u l l o e h ) 和数学家皮茨( w p i t t s ) 。 他们于1 9 4 3 年建立了m p 神经元模型，m p 神经元模型首次用简单的数学模型模仿出生 物神经元活动功能，并揭示了通过神经元的相互连接和简单的数学计算，可以进行相当复 杂的逻辑运算，开创了人工神经网络研究的时代。经过半个多世纪的发展，人工神经网络 研究经历了高潮和低谷的多次反复，但一直有研究者致力于这一领域的研究，使得无论人 工神经网络还是其在各领域的应用都取得了长足的发展和进步，人工神经网络简称为神经 网络( n e u r a ln e t w o r k ，n n ) 。本章将介绍神经网络的基本概念，重点阐述了概率神经网络 的原理。 3 1 人工神经网络概述 人工神经网络的基本单元称为神经元，是对生物神经元的简化和模拟，通过大量神经 元的相互连接构成了神经网络。神经网络是在对大脑神经网络认识理解的基础上人工构造 的能够实现某种功能的神经网络，它是理论化的人脑神经网络的数学模型，是基于模仿大 脑神经网络结构和功能而建立的一种信息处理系统。简单的说，人工神经网络是由简单的 处理单元组成的大量并行分布的处理机，这种处理机具有存储和应用经验知识的自然特 性，该特性可以概括为两个方面，一是通过学习过程利用神经网络从外部环境中获取知识， 二是将获取的知识通过内部神经元( 突触权值) 方式存储在神经网络中，可以在使用时提 取出来，具有高度的非线性，能够进行复杂的逻辑操作和非线性关系实现。用于完成学习 过程的程序称为学习算法，其