sa算法在基于模型推理入侵检测中的应用

《sa算法在基于模型推理入侵检测中的应用》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、万方数据第34卷第l期2005年2月电子科技大学学报JoumalofUESTofChinaV01．34No．1Feb．2005SA算法在基于模型推理入侵检测中的应用陈波，于泠，肖军模(解放军理工大学通信工程学院南京210007)【摘要】鉴于模型推理的入侵检测方法，需要在庞大的审计记录空问中搜索巨量的攻击脚本子集中的最优值，对于这一NP类完全问题，提出了应用模拟退火算法。并建立了攻击检测的优化问题模型，给出了攻击检测实验中的解空间、目标函数、新解的产生和接受准则，得到了一个合理的冷却进度表，并对实验中的模拟退火算法进行了并行化研究。实验证明，与传统的

2、贪心算法相比，应用模拟退火算法提高了进化速度和全局寻优能力，较好地解决了搜索效率问题。关键词模拟退火算法；模型推理；入侵检测：网络安全中图分类号TP393．08文献标识码AAnApplicationofSimulatedAnnealingAlgorithminModel—BasedReasoningIntrusionDetectionC眦．NBo，YULiIlg，X认OJun-mO(InstituteofcommllIlicationEngiIl鼬g，PLAUnivcIs时ofsci∞ceaIld融加oIq科Nanj啦2l0007)Abstract

3、nisneededtosearch锄Ongall廿1epossibleattackSubsetSa11dtomatcht11eeVentsrecordediIlt11eaudittrail．Tomakeadecisionabout也erealismof也ehypomesiscorrespondillgtoaparticularsubsetisdi伍cultiIlmodel-baSedreaSoningIn们lsionDetectionSystem．WepresentusillgSimulatedAnnealill双SA)algorithmtos01

4、Ve廿lisNP—completeproblem．ModeliIlgaoptimiziIlgissueofanackdetectionfirSt，aIldgiVemesolvespace，t11e啦et如nction，廿lecreationofnewsolutionaIldacceptt

5、1estandard，wegotareaSOnablecoOlillgschedule．TheparallelizationOfSAalgoritllmisalsopresemed．TheeXperhentSiIldicatemattheSAalgori廿11nc

6、anirnpmVe血eeVolutionspeeda11dt11eabilitiesofseekillgt11eglobaIexcellemresult，aIldres01veto廿leefflciencyproblemofsearchingwell．Keywordssimulated籼ealillgalgOr汕【In；model-b嬲edreaSoning；msiondetection；networI(securit、，1基于模型推理的入侵检测方法入侵是指任何试图对资源的完整性、保密性或可用性产生危害的行为。入侵检测是对这些行为的识别。由于入侵模

7、式的多样性，入侵检测策略和模型也具有多种不同的类型【1，21。基于模型推理(Model一BaSedReaSoniI培)的入侵检测方法通过为入侵行为建立特定的模型，结合攻击脚本推理出入侵行为是否出现。入侵检测利用的信息很大一部分是来自系统的日志和审计信息。入侵者经常在系统日志中留下他们的踪迹，因此充分利用系统的日志文件和审计信息是检测入侵的必要手段。日志中包含发生在系统和网络上的不寻常和不期望活动的证据，通过分析日志文件和审计信息，能够发现成功的入侵或入侵企图。收稿日期，2003一06—16基金项目：国家自然科学基金资助项目(69931040)作者简

8、介：陈波(1972一)。男，博士生，讲师，主要从事网络信息安全、人工智能方面的研究．万方数据第1期陈波等：sA算法在基于模型推理入侵检测中的应用37在unix操作系统中带有许多审计机制，并且还可以再配置审计工具，因此能够产生大量的审计数据。为从庞大的信息中提取出与安全相关的信息，以产生攻击脚本，首先对历史审计文件进行预处理，产生用户会话矢量。用户会话包括IogiIl和logout之间的所有事件。会话矢量4=匈。，吃，⋯，口户描述单一会话过程中用户进行的各种事件数量。会话开始于login，终止于logout，109in和1090ut次数也作为会话矢量

9、的一部分。可以监视20多种事件，如：登录的时间、登录失败数、写文件数、读文件数等。然后将产生的用户会话矢量提交给分析模块，