基于模型檢測的入侵檢測基準(zhǔn)測試平臺(tái)研究.pdf

1、隨著網(wǎng)絡(luò)安全的威脅來源和攻擊手段不斷變化，為了對不斷變化的攻擊手段實(shí)施檢測，基于模型檢測的共性技術(shù)被應(yīng)用于入侵檢測當(dāng)中，并被已有的研究證實(shí)是能夠檢測復(fù)雜攻擊的入侵檢測系統(tǒng)，因此該技術(shù)一經(jīng)提出，即獲得了國內(nèi)外學(xué)者的廣泛關(guān)注，并形成了一類基于模型檢測的入侵檢測算法。然而，仍存在若干問題亟待解決。一方面，對于一些常見攻擊類型，該類算法的檢測能力如何，目前尚未可知。另一方面，當(dāng)前評估入侵檢測算法性能的常用數(shù)據(jù)集是KDD CUP，由于提取數(shù)據(jù)特征

2、的方式不同，該數(shù)據(jù)集不適用于面向“行為”的入侵檢測算法實(shí)施評估，而基于模型檢測的入侵檢測算法恰恰是根據(jù)攻擊“行為”的特征實(shí)施檢測。因此，我們迫切需要一種面向行為的數(shù)據(jù)集，從而可以在同一個(gè)平臺(tái)上針對已有的或者未來的基于模型檢測的入侵檢測算法實(shí)施性能測評，這就是本文擬研究解決的問題。
　　首先，針對22種常見攻擊類型進(jìn)行分析，根據(jù)其原理提取關(guān)鍵攻擊動(dòng)作序列，獲得其公式模型。其次，在KDDCUP一定的樣本空間內(nèi)，隨機(jī)選取大量的面向連接的

3、攻擊記錄與正常記錄。然后，面向連接映射到面向行為，獲得由大量的基于行為的攻擊記錄與正常記錄組成的數(shù)據(jù)集，由于該數(shù)據(jù)集的構(gòu)建過程與任何算法均無關(guān)，因而，可對面向行為的入侵檢測算法（類）實(shí)施獨(dú)立測評。最后，使用該平臺(tái)對3種基于模型檢測的入侵檢測算法和22種類型攻擊實(shí)施檢測，表明了不同算法相對于不同類型攻擊的檢測能力。
　　仿真結(jié)果證實(shí)：所構(gòu)建的測試平臺(tái)可有效地評測基于模型檢測的入侵檢測算法（類）；獲得的算法與攻擊類型的相對檢測能力可為