资源描述：
《基于特征的入侵检测系统的评估新方法》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。
1、1基于特征的入侵检测系统的评估新方法1,211孙美凤龚俭杨望1（东南大学计算机科学与工程系，江苏省计算机网络技术重点实验室，江苏南京210096)2（扬州大学信息工程学院计算机系，江苏扬州225000)Anewapproachtoevaluatethecapacityofsignature-basedintrusiondetectionsystems1,211SunMeifengGongJianYangWang1(DepartmentofComputerScienceandEngineering,SoutheastUniversity,Nanjing210096
2、,China)2(CollegeofInformationEngineering,YangzhouUniversity,Yangzhou225000,China)Abstract:Existingintrusiondetectionsystem(IDS)evaluationmethodstakeanIDSasablack-box,anddeduceitsdetectioncapabilitiesbyobservingitsoutputsunderatrafficmixtureofnormalusagesandattacks.Theresultsbysuchane
3、valuationmethodreflectthecapacityofasignature-basedIDS,whichisdeterminedbyitsimplementationcombinedwithhumanknowledgeinputinit.Sincethedetectionruleformatanditssemanticdefinitionmayvary,thepreconditionfortheevaluationisnotequalinfact.Therefore,thecurrentmethodsarenotreasonableenough,
4、andtheresultsmaychangeasthedetectionrulechanges.Inthispaper,weproposeanewevaluationmethodforsignature-basedIDS,whichviewsthehumanknowledgeasIDSparameters,andevaluatesthecapabilityofIDSimplementationonly.Wefocusonthedefinitionofmetrics.Additionally,wealsointroducehowtocalculatethevalu
5、eofmetrics.Aprototypeisimplementedwhichshowsthatthisnewmethodcanevaluatetherealcapacitybetterforasignature-basedIDS.Keywords:intrusiondetection,signature-basedintrusiondetectionsystem,evaluation摘要：目前评估方法将IDS看作一个黑盒子，通过观察它在模拟的正常用户行为和入侵作用下的输出来推断其在实际环境中表现出的检测能力。对基于特征的IDS，这种表现出的检测能力反映IDS实
6、现和预置人工知识的综合质量。由于IDS各自定义所使用的检测规则，并且在定义之后，规则及其数量还可能变化，所以IDS在评估时表现出的检测能力与实际运行中表现出的能力可能不同，这就失去了评估的意义。本文提出一种基于系统能力的评估方法，该方法把人工知识视为评估参数，因此结论反映IDS实现的质量。本文重点讨论系统能力的测度定义，并简单介绍测度计算的总体思路。实验结果表明本文方法更能反映基于特征的IDS的真实质量。关键字：入侵检测；基于特征的入侵检测系统；评估中图分类号：TP3931引言20世纪80年代以来，随着对入侵检测技术研究的发展，出现了许多入侵检测系统（IDS），
7、1本文受国家973计划课题（2003CB314804）、教育部科学技术重点研究项目(105084)和江苏省网络与信息安全重点实验室（BM2003201）资助。作者简介：孙美凤(1970-)，女，博士生，研究方向为入侵检测系统，EMAIL：msun@njnet.edu.cn；龚俭(1957-)，教授，博士生导师，研究方向包括网络安全，网络行为学；杨望（1979－），男，博士生，研究方向位入侵检测系统1因此产生了对各种入侵检测系统功能和性能评测的需求。无论采用何种检测方法，IDS的最终目的都是应用到某一实际环境中进行入侵检测。具体说，就是从实际环境输入的反映入侵和正
8、常行为的审计数据流中识别
