基于RBF神經(jīng)網(wǎng)絡(luò)與RVM的入侵檢測算法研究.pdf

1、上海交通大學(xué)工程碩士學(xué)位論文10第一章緒論1.1課題的目的和意義近年來，隨著信息技術(shù)的飛速發(fā)展，互聯(lián)網(wǎng)技術(shù)逐漸普及，網(wǎng)絡(luò)接入量和信息傳輸量不斷增加，各種非法的網(wǎng)絡(luò)入侵也是層出不窮。入侵檢測[1](IntrusionDetection)的主要目的，就是要實時高效地檢測出各種非法入侵信號的存在，進而有效阻止這些信號的攻擊，從而有力保障計算機網(wǎng)絡(luò)通信的安全。信息時代的到來，互聯(lián)網(wǎng)技術(shù)得到了大力發(fā)展，計算機網(wǎng)絡(luò)安全的重要性也逐步顯現(xiàn)。防火墻技術(shù)

2、[2]作為網(wǎng)絡(luò)安全的一種行之有效的防護手段，已經(jīng)廣泛應(yīng)用于各種場合。然而，計算機入侵技術(shù)的發(fā)展也是日新月異，防火墻作為一種單一的防護手段，在確保計算機網(wǎng)絡(luò)的安全問題上顯得有點力不從心。防火墻對于防范網(wǎng)絡(luò)黑客表現(xiàn)出十分明顯的局限性。首先，防火墻無法阻止內(nèi)部人員所發(fā)動的攻擊；其次，它對網(wǎng)絡(luò)數(shù)據(jù)流的控制缺乏靈活性，反應(yīng)比較遲鈍；最后，在入侵事件已經(jīng)發(fā)生后，使用防火墻保存的信息比較少，往往難以調(diào)查和取證。正是基于防火墻技術(shù)存在這些缺點和不足，為

3、了增強網(wǎng)絡(luò)的安全性以及可靠性，我們需要一種更為強大更為主動的安全防護技術(shù)，入侵檢測技術(shù)就是在這種條件下應(yīng)運而生了。入侵檢測技術(shù)對內(nèi)部攻擊、外部攻擊和誤操作等均提供了實時的防護，能夠幫助網(wǎng)絡(luò)系統(tǒng)快速捕捉入侵信號，并迅速做出響應(yīng)。正因為入侵檢測技術(shù)增強了網(wǎng)絡(luò)系統(tǒng)的安全防護能力，因而得到了快速發(fā)展和廣泛應(yīng)用。隨著開放式網(wǎng)絡(luò)技術(shù)的飛速發(fā)展，計算機已經(jīng)從單一的主機，發(fā)展為分布式的互聯(lián)網(wǎng)絡(luò)系統(tǒng)。網(wǎng)絡(luò)規(guī)模的日益擴大和網(wǎng)絡(luò)用戶的日趨增多，針對計算機網(wǎng)絡(luò)

4、系統(tǒng)的入侵形勢變得非常嚴(yán)峻。而網(wǎng)絡(luò)技術(shù)的復(fù)雜化，也直接導(dǎo)致網(wǎng)絡(luò)入侵方式的多樣化，使得檢測入侵攻擊的難度大大增加，從而對入侵檢測技術(shù)的研究提出了更為迫切的要求?，F(xiàn)在入侵檢測技術(shù)的研究大致可分為兩個方向：第一個方向是分布式入侵檢測技術(shù)[34]。該方向既包括針對分布式網(wǎng)絡(luò)的入侵攻擊檢測方法，也包括使用分布式的方法來實現(xiàn)對分布式攻擊的檢測方法，其中最為關(guān)鍵的技術(shù)就是檢測信息的協(xié)同處理以及入侵攻擊全局信息的提取。第二個方向是智能入侵檢測技術(shù)[56

5、]，即使用智能化的方法來進行入侵檢測。現(xiàn)階段常用的智能化方法主要有神經(jīng)網(wǎng)絡(luò)，支持向量機(SVM)等機器學(xué)習(xí)的方法，這些方法常用于入侵攻擊信號特征的識別。以上兩個方向從不同的方面對入侵檢測進行深入，它們共同推進了入侵檢測上海交通大學(xué)工程碩士學(xué)位論文12入侵者入侵報警特征庫匹配過程圖1.1誤用入侵檢測模型Fig.1.1MisuseIntrusionDetectionModel誤用檢測還存在另一個局限性，就是要考慮審計處理實際情況。例如，由于

6、審計信息巨大的存儲空間需求會給整個系統(tǒng)造成潛在的沖擊，而且當(dāng)前審計操作不能記錄程序變量或進程的變化等。如果能夠從程序變量的值推斷入侵，那么就可通過跟蹤程序活動蹤跡來檢測入侵行為。但是，這需要借助外部工具和不受限的存儲空間。而審計方法也不能夠解釋程序的輸入或輸出數(shù)據(jù)。在現(xiàn)代的操作系統(tǒng)中，由于用戶級調(diào)用讀寫函數(shù)并不總是表現(xiàn)和審計跟蹤一一對應(yīng)得，而是由于IO(InputOutput，輸入輸出)的緩沖區(qū)所引起的，因此審計師需要根據(jù)監(jiān)測應(yīng)用程序向

7、系統(tǒng)服務(wù)的請求而通過日志來實現(xiàn)。這還存在以下一些問題，比如說有的破壞方法可能找不出來源，這是由于他們不產(chǎn)生可檢測的標(biāo)簽。而從不同的來源的偽造攻擊，盡管產(chǎn)生了相同的事件，卻由于事件數(shù)據(jù)的不完整而被忽略。(2)異常檢測也稱作基于行為的入侵檢測，即根據(jù)攻擊者的行為或網(wǎng)絡(luò)資源的使用狀況來判斷是否為入侵信號?；谛袨榈臋z測與系統(tǒng)無關(guān)，具有較強的通用性。它還能檢測出以前未出現(xiàn)過的攻擊行為，而不像基于知識的檢測那樣受已知特征的限制。常用的基于異常的檢