基于粗糙集理论的网络入侵检测算法和模型研究

《基于粗糙集理论的网络入侵检测算法和模型研究》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、上海交通大学博士学位论文基于粗糙集理论的网络入侵检测算法和模型研究姓名：张连华申请学位级别：博士专业：计算机应用指导教师：白英彩20050101申请上海交通大学博士学位论文摘要基于粗糙集理论的网络入侵检测算法和模型研究摘要网络入侵检测作为一项被安全产业界认可的重要技术，已经获得了广泛的研究。但是现有入侵检测技术不能有效地检测攻击的不同变体，也不能对用户活动建立准确的模型，检测率不高。同时，已有入侵检测系统常产生大量误告警，给用户带来不必要的负担。此外，现有的网络入侵检测系统大都是基于攻击步骤的检测方式，不能获得高

2、层攻击场景视图。网络入侵检测的低准确性、高误告警率和检测报告的低级抽象是当前入侵检测研究需要亟待解决的问题。本文研究如何实现高检测率和高可用性高级智能入侵检测系统的模型和算法。论文针对目前网络入侵检测技术的不足，对如下三个内容进行了研究：入侵检测环境和需求分析、智能入侵检测模型和算法、告警关联分析，这三个方面既相互独立又紧密联系，构成了本文的主体。本文的主要研究工作可概括为：攻防模型设计、提出基于粗糙集分类的智能入侵检测系统模型和算法、提出基于层次的智能告警关联模型和算法。攻防模型刻画了入侵检测环境，为基于粗糙集

3、分类的智能入侵检测系统打下基础。基于粗糙集分类的智能入侵检测系统模型和算法是本文的核心，它提高了入侵检测的智能性和检测率。基于层次的智能告警关联模型和算法进一步加强了粗糙集分类入侵检测系统的智能，提高了入侵检测系统的可用性。本文创新性的工作主要有：1）提出了攻防模型，在一定高度上解决了入侵检测的环境和需求分析问题，为基于粗糙集分类的入侵检测系统中攻击模式分析提供依据。模型包括四个部分：信息系统模型、脆弱性分析模型、攻击场景模型和防御系统模型，每个部分分为三个大的层次：核心层、域扩展层、时间演化层。该模型将攻击方和

4、防御方包含在一个模型中，并利用博弈思想刻画攻防双方的互动特性；模型中含有详细的信息系统资产、威胁、脆弱性信息，为风险评估提供依据；模型不仅考虑了空间的扩展还考虑了时间上的演化。攻防模型还为现有安全风险模型提供融合的、协调的统一框架，它不仅能继承现有安全模型的工作，比如安全策略模型，脆弱性模型，信息保障模型，风险评估模型，还容纳了基于信息安全经济学的博弈论模型等，是一个相对全面的系统。2)提出了基于粗糙集理论的智能入侵检测系统模型和算法。本文使用新颖的粗糙集分类算法进行网络入侵检测的特征提取和模型生成。该算法在模型

5、生成过程中能够自动产生特征归约。文章揭示了粗糙集归约和最小规则生成对网络入侵检测的重要意义，并利用启发i申请上海交通大学博士学位论文摘要式规则和混合遗传算法改进粗糙集分类。基于粗糙集分类的网络入侵检测算法能够处理不完备、不确定性信息系统，生成的模型基于产生式规则，易于解释。该算法还易于集成成本因子来获得“廉价”入侵检测解决方案。本文还通过实验说明该算法和已有的高效入侵检测算法具有可比性。3)提出了基于层次的智能告警关联模型。该模型在不同的层次上分别完成“误告警验证与抑制”，“聚类一个攻击产生的多个告警为一个告警”

6、，“从告警信息中将一个攻击过程重建为一个场景描述”等功能。在不同的层次上，防御者看到的攻击视图越来越清晰，从而为攻击响应措施提供了精确的决策依据。本文针对告警关联模型一些主要模块，实现了一些实用的算法，且通过实验对每个算法都做了测试和验证。关键词：入侵检测，安全模型，告警关联分析，粗糙集理论，支持向量机，混合遗传算法ii申请上海交通大学博士学位论文AbstractRESEARCHONNETWORKINTRUSIONDETECTIONALGORITHMANDMODELBASEDONROUGHSETSTHEORYAB

7、STRACTIntrusiondetection,asanimportantacceptedtechnologyinsecuritydomain,isamechanismthatrecognizesanongoingattackbyanalyzingauditdatafromvarioussources(hostsandnetworks)andrespondsappropriatelytothwartsuchintrusive,disruptivebehaviors.Today,manyintrusiondete

8、ctionalgorithmshavebeenproposedandmanyIDSshavebeenimplemented.Butsomequestionsstillneedtobesolved.First,ThecurrentIDSsstillcannotdetectnewattackandevensomeoldattackvariation,anditcannotde