入侵检测论文范文

入侵检测论文范文第1篇

关键词：光纤扰动入侵检测带通放大器

光纤传感包含对外界信号（被测量）的感知和传输两种功能。所谓感知（或敏感），是指外界信号按照其变化规律使光纤中传输的光波的物理特征参量（如强度、波长、频率、相位和偏振态等）发生变化后，测量光参量的变化。这种“感知”实质上是外界信号对光纤中传播的光波实施调制。根据被外界信号调制的光波的物理特征参量的变化情况，可以将光波的调制分为光强度调制、光频率调制、光波长调制以及光相位和偏振调制等五种类型。外界扰动（如振动、弯曲、挤压等情况）对光纤中光通量的影响属于功能型光强调制。对微弯曲的检测一般采用周期微弯检测方法，需要借用传感板人为地使光纤周期性弯曲，从而使光强得到调制，一般用来检测微小位移，可以作成工业压力传感器，其精度较高，设计也比较复杂。而光纤扰动入侵检测的目的是检测入侵，不需要很高的精度，因为高精度反而容易产生误报警，因此不能采用上述方法。本文提出一种利用不同入侵对象（如人、风等）的扰动调制频率的范围不同，采用一般多模光纤，在后续电路采用带通滤波器进行带通放大，滤出入侵扰动信号的调制频率，有效实现入侵检测的方法。根据对入侵对象及入侵频率的分析，对0．1～30Hz的带通滤波器电路进行了设计与仿真，有效滤除了电源纹波、温度漂移的影响，并设计了扰动检测系统。在实际应用中，将该入侵检测系统安装在某区域或特殊物体上，如篱笆或需检测对象上，能够有效地检测入侵、篡改、替换等非授权活动。

1扰动原理

1．1光纤特性

光纤是由折射率不同的石英材料组成的细圆柱体。圆柱体的内层称为纤芯，外层称为包层，光线（或光信号）在纤芯内进行传输。设纤芯的折射率为n1，包层的折射率为n2，要使光线只在纤芯内传输而不致通过包层逸出，必须在纤芯与包层的界面处形成全反射的条件，即满足n1＞n2。

光纤除了折射率参数外还有其它参数，如相对折射率、数值孔径N·A、衰减、模式（单模、多模）等。对于本系统，衰减参数比较重要，在光纤中峰值强度（光功率）为I0的光脉冲从左端注入光纤纤芯，光沿着光纤传播时，其强度按指数规律递减，即：

I（z）＝I0e－αZ(1)

其中,I0——进入光纤纤芯(Z＝0处)的初始光强；

Z——沿光纤的纵向距离；

α——光强衰减系数。

光功率在光纤的衰减情况如图1所示。光纤衰减率的定义为：光在光纤中每传播1km，光强所损耗的分贝数。即：

衰减率＝－10lg(I/I0)db／km)(2)

光纤的衰减率只与衰减系数有关，引起光衰减的原因很多，如材料的吸收、弯曲损耗和散射损耗等，光纤扰动入侵检测主要是利用不同外界扰动对光纤的微扰损耗而产生的不同强度调制频率来探测扰动入侵的。

1．2微扰损耗

光纤中的微扰损耗是指由光纤的几何不均匀性引起的损耗，其中包括由内部因素和外部干扰引起的不均匀性，如宏观结构上折射率和直径的不均匀性、微弯曲等。根据光纤传输理论，这种不均匀性引起的损耗或以散射形式出现，或以模式耦合的形式出现。模式耦合是指光纤的传导模之间、传导模与辐射模之间的能量交换或能量传递。这就意味着通过光纤的光会受到衰减。一般情况下，制造和使用光纤时要减小和避免这些损耗，但是光纤扰动入侵检测主要是利用这些耗损对光的衰减来探测入侵的存在，因此研究这些耗损，特别是微弯损耗是比较重要的。微弯损耗是由模式间的机械感应耦合引起的。光纤中的传导模变换成包层模，并从纤芯中消失。当沿光纤的机械微扰的空间周期与光纤内相邻的模式的波数差一致时，这种损耗就增加。近似的实验关系如下：

光纤微弯曲损耗∝(纤芯半径／光纤半径)2·(2／N·A)4(3)

其中，N·A为光纤的数值孔径，当光从空气入射到光纤端面时，只有入射方向处于某一光锥内的光线在进入光纤之后才能留在纤芯内，而从光锥外入射的光线即使进入光纤，也会从包层逸出。这个光锥半角的正弦称为光纤的数值孔径。

1．3LED光源特性

图4带通滤波器仿真电路图

LED光源的光学特性主要有波长、线宽、输出功率、光纤耦合等。LED的中心发射波长λ取决于半导体材料的能隙Eg，其公式为：

λ＝hc/Eg≈1.24／Eg(μm)(4)

其中?熏h为普朗克常数，c为光速。LED的线宽一般为其中心波长的5％量极，因为增益的选择性会使线宽变窄。制造LED的常用材料如表1所示。

表1制造LED的常用材料列表

材料发射波长/nm光谱

GaP700红

GaAlAs650～850红至近红外

GaAs900近红外

InGaAs1200～1700近红外

850nm波长的LED输出功率通常在1～10mW范围内，波长小于850nm的器件，其可用功率显著减小。所有LED的输出功率及波长都随温度变化，在850nm时，输出功率和波长的典型温度系数分别为0．5％C－1和0．3nmC－1，因此热稳定度对于光纤扰动入侵检测是需要考虑的因素。

2硬件技术方案

光纤扰动入侵检测系统原理框图如图2所示。系统主要包括：载频信号源电路、LED光源、PIN光电探测器、光纤、扰动入侵检测、报警传输接口电路等。

2．1传感电路的设计

载频信号源电路的目的是为增加LED的发射功率，同时在接收端对缓变LED光电流实现检测。光电发射与接收电路由LED光源、光纤、PIN光电探测器等三个部分组成，组成传感单元，如图3所示。LED采用美国安捷伦(Agilent)公司的HFBR0400系列低功耗、高效LED，其型号为HFBR－1424，发射光波波长为850nm，125MHz带宽，截止频率为35MHz，输出光功率为50～100μW。光纤传输长度为4km，工作温度范围为－40℃～85℃，适合与50／125μm、62．5／125μm、100／140μm等光纤耦合。目前光纤通信中普遍使用PIN二极管进行光检测，将光信号转变为电流信号，但因电流信号很弱，仅有pA级，故很难将其有效地转换为伏级电压以供后继电路进行信号处理使用；以前通常采用价格昂贵的高性能运算放大器构成放大电路，但实验结果不很理想，且容易受到外界电磁干扰的影响；为克服这些缺点，采用美国安捷伦公司生产的HFBR2416，它是将PIN光检测器和前置放大器集成在一起的新型光接插器件。HFBR2416主要特点如下：(1)将PIN光检测器与前置放大器集成在一起，可直接输出较大的电压信号；(2)只需少量外部元件便可构成高性能的光接收电路，典型带宽高达125MHz；(3)可用于模拟和数字光通信系统，抗干扰性能好；(4)与HFBR0400系列其它产品兼容，符合国际工业标准，适用性好；(5)具有多种封装形式，体积小、重量轻；(6)价格便宜。其具体技术参数如表2所示。

表2HFBR2416技术参数表

参数符合最小值最大值一般值单位注释

电源电压Voc-0.56.0V

输出电压Vsig-0.5VccV

输出阻抗Zo30Ωf=50MHz

响应度RP5.39.67mV/μs波长850，50MH

上升/下降时间Tr/tf6.33.3nsRp=100μW,peak

脉宽失真PWD2.50.4nsRp=100μW,peak

带通BW125MHz

2．2带通滤波器的设计与仿真

入侵检测论文范文第2篇

关键词入侵检测异常检测误用检测

在网络技术日新月异的今天，论文基于网络的计算机应用已经成为发展的主流。政府、教育、商业、金融等机构纷纷联入Internet，全社会信息共享已逐步成为现实。然而，近年来，网上黑客的攻击活动正以每年10倍的速度增长。因此，保证计算机系统、网络系统以及整个信息基础设施的安全已经成为刻不容缓的重要课题。

1防火墙

目前防范网络攻击最常用的方法是构建防火墙。

防火墙作为一种边界安全的手段，在网络安全保护中起着重要作用。其主要功能是控制对网络的非法访问，通过监视、限制、更改通过网络的数据流，一方面尽可能屏蔽内部网的拓扑结构，另一方面对内屏蔽外部危险站点，以防范外对内的非法访问。然而，防火墙存在明显的局限性。

(1)入侵者可以找到防火墙背后可能敞开的后门。如同深宅大院的高大院墙不能挡住老鼠的偷袭一样，防火墙有时无法阻止入侵者的攻击。

(2)防火墙不能阻止来自内部的袭击。调查发现，50％的攻击都将来自于网络内部。

(3)由于性能的限制，防火墙通常不能提供实时的入侵检测能力。毕业论文而这一点，对于层出不穷的网络攻击技术来说是至关重要的。

因此，在Internet入口处部署防火墙系统是不能确保安全的。单纯的防火墙策略已经无法满足对安全高度敏感部门的需要，网络的防卫必须采用一种纵深的、多样化的手段。

由于传统防火墙存在缺陷，引发了入侵检测IDS(IntrusionDetectionSystem)的研究和开发。入侵检测是防火墙之后的第二道安全闸门，是对防火墙的合理补充，在不影响网络性能的情况下，通过对网络的监测，帮助系统对付网络攻击，扩展系统管理员的安全管理能力(包括安全审计、监视、进攻识别和响应)，提高信息安全基础结构的完整性，提供对内部攻击、外部攻击和误操作的实时保护。现在，入侵检测已经成为网络安全中一个重要的研究方向，在各种不同的网络环境中发挥重要作用。

2入侵检测

2．1入侵检测

入侵检测是通过从计算机网络系统中的若干关键点收集信息并对其进行分析，从中发现违反安全策略的行为和遭到攻击的迹象，并做出自动的响应。其主要功能是对用户和系统行为的监测与分析、系统配置和漏洞的审计检查、重要系统和数据文件的完整性评估、已知的攻击行为模式的识别、异常行为模式的统计分析、操作系统的审计跟踪管理及违反安全策略的用户行为的识别。入侵检测通过迅速地检测入侵，在可能造成系统损坏或数据丢失之前，识别并驱除入侵者，使系统迅速恢复正常工作，并且阻止入侵者进一步的行动。同时，收集有关入侵的技术资料，用于改进和增强系统抵抗入侵的能力。

入侵检测可分为基于主机型、基于网络型、基于型三类。从20世纪90年代至今，英语论文已经开发出一些入侵检测的产品，其中比较有代表性的产品有ISS(IntemetSecuritySystem)公司的Realsecure，NAI(NetworkAssociates，Inc)公司的Cybercop和Cisco公司的NetRanger。

2．2检测技术

入侵检测为网络安全提供实时检测及攻击行为检测，并采取相应的防护手段。例如，实时检测通过记录证据来进行跟踪、恢复、断开网络连接等控制；攻击行为检测注重于发现信息系统中可能已经通过身份检查的形迹可疑者，进一步加强信息系统的安全力度。入侵检测的步骤如下：

收集系统、网络、数据及用户活动的状态和行为的信息

入侵检测一般采用分布式结构，在计算机网络系统中的若干不同关键点(不同网段和不同主机)收集信息，一方面扩大检测范围，另一方面通过多个采集点的信息的比较来判断是否存在可疑现象或发生入侵行为。

入侵检测所利用的信息一般来自以下4个方面：系统和网络日志文件、目录和文件中的不期望的改变、程序执行中的不期望行为、物理形式的入侵信息。

(2)根据收集到的信息进行分析

常用的分析方法有模式匹配、统计分析、完整性分析。模式匹配是将收集到的信息与已知的网络入侵和系统误用模式数据库进行比较，从而发现违背安全策略的行为。

统计分析方法首先给系统对象(如用户、文件、目录和设备等)创建一个统计描述，统计正常使用时的一些测量属性。测量属性的平均值将被用来与网络、系统的行为进行比较。当观察值超出正常值范围时，就有可能发生入侵行为。该方法的难点是阈值的选择，阈值太小可能产生错误的入侵报告，阈值太大可能漏报一些入侵事件。

完整性分析主要关注某个文件或对象是否被更改，包括文件和目录的内容及属性。该方法能有效地防范特洛伊木马的攻击。

3分类及存在的问题

入侵检测通过对入侵和攻击行为的检测，查出系统的入侵者或合法用户对系统资源的滥用和误用。工作总结根据不同的检测方法，将入侵检测分为异常入侵检测(AnomalyDetection)和误用人侵检测(MisuseDetection)。

3．1异常检测

又称为基于行为的检测。其基本前提是：假定所有的入侵行为都是异常的。首先建立系统或用户的“正常”行为特征轮廓，通过比较当前的系统或用户的行为是否偏离正常的行为特征轮廓来判断是否发生了入侵。此方法不依赖于是否表现出具体行为来进行检测，是一种间接的方法。

常用的具体方法有：统计异常检测方法、基于特征选择异常检测方法、基于贝叶斯推理异常检测方法、基于贝叶斯网络异常检测方法、基于模式预测异常检测方法、基于神经网络异常检测方法、基于机器学习异常检测方法、基于数据采掘异常检测方法等。

采用异常检测的关键问题有如下两个方面：

(1)特征量的选择

在建立系统或用户的行为特征轮廓的正常模型时，选取的特征量既要能准确地体现系统或用户的行为特征，又能使模型最优化，即以最少的特征量就能涵盖系统或用户的行为特征。(2)参考阈值的选定

由于异常检测是以正常的特征轮廓作为比较的参考基准，因此，参考阈值的选定是非常关键的。

阈值设定得过大，那漏警率会很高；阈值设定的过小，则虚警率就会提高。合适的参考阈值的选定是决定这一检测方法准确率的至关重要的因素。

由此可见，异常检测技术难点是“正常”行为特征轮廓的确定、特征量的选取、特征轮廓的更新。由于这几个因素的制约，异常检测的虚警率很高，但对于未知的入侵行为的检测非常有效。此外，由于需要实时地建立和更新系统或用户的特征轮廓，这样所需的计算量很大，对系统的处理性能要求很高。

3．2误用检测

又称为基于知识的检测。其基本前提是：假定所有可能的入侵行为都能被识别和表示。首先，留学生论文对已知的攻击方法进行攻击签名(攻击签名是指用一种特定的方式来表示已知的攻击模式)表示，然后根据已经定义好的攻击签名，通过判断这些攻击签名是否出现来判断入侵行为的发生与否。这种方法是依据是否出现攻击签名来判断入侵行为，是一种直接的方法。

常用的具体方法有：基于条件概率误用入侵检测方法、基于专家系统误用入侵检测方法、基于状态迁移分析误用入侵检测方法、基于键盘监控误用入侵检测方法、基于模型误用入侵检测方法。误用检测的关键问题是攻击签名的正确表示。

误用检测是根据攻击签名来判断入侵的，根据对已知的攻击方法的了解，用特定的模式语言来表示这种攻击，使得攻击签名能够准确地表示入侵行为及其所有可能的变种，同时又不会把非入侵行为包含进来。由于多数入侵行为是利用系统的漏洞和应用程序的缺陷，因此，通过分析攻击过程的特征、条件、排列以及事件间的关系，就可具体描述入侵行为的迹象。这些迹象不仅对分析已经发生的入侵行为有帮助，而且对即将发生的入侵也有预警作用。

误用检测将收集到的信息与已知的攻击签名模式库进行比较，从中发现违背安全策略的行为。由于只需要收集相关的数据，这样系统的负担明显减少。该方法类似于病毒检测系统，其检测的准确率和效率都比较高。但是它也存在一些缺点。

3．2．1不能检测未知的入侵行为

由于其检测机理是对已知的入侵方法进行模式提取，对于未知的入侵方法就不能进行有效的检测。也就是说漏警率比较高。

3．2．2与系统的相关性很强

对于不同实现机制的操作系统，由于攻击的方法不尽相同，很难定义出统一的模式库。另外，误用检测技术也难以检测出内部人员的入侵行为。

目前，由于误用检测技术比较成熟，多数的商业产品都主要是基于误用检测模型的。不过，为了增强检测功能，不少产品也加入了异常检测的方法。

4入侵检测的发展方向

随着信息系统对一个国家的社会生产与国民经济的影响越来越大，再加上网络攻击者的攻击工具与手法日趋复杂化，信息战已逐步被各个国家重视。近年来，入侵检测有如下几个主要发展方向：

4．1分布式入侵检测与通用入侵检测架构

传统的IDS一般局限于单一的主机或网络架构，对异构系统及大规模的网络的监测明显不足，再加上不同的IDS系统之间不能很好地协同工作。为解决这一问题，需要采用分布式入侵检测技术与通用入侵检测架构。

4．2应用层入侵检测

许多入侵的语义只有在应用层才能理解，然而目前的IDS仅能检测到诸如Web之类的通用协议，而不能处理LotusNotes、数据库系统等其他的应用系统。许多基于客户／服务器结构、中间件技术及对象技术的大型应用，也需要应用层的入侵检测保护。

4．3智能的入侵检测

入侵方法越来越多样化与综合化，尽管已经有智能体、神经网络与遗传算法在入侵检测领域应用研究，但是，这只是一些尝试性的研究工作，需要对智能化的IDS加以进一步的研究，以解决其自学习与自适应能力。

4．4入侵检测的评测方法

用户需对众多的IDS系统进行评价，评价指标包括IDS检测范围、系统资源占用、IDS自身的可靠性，从而设计出通用的入侵检测测试与评估方法与平台，实现对多种IDS的检测。

4．5全面的安全防御方案

结合安全工程风险管理的思想与方法来处理网络安全问题，将网络安全作为一个整体工程来处理。从管理、网络结构、加密通道、防火墙、病毒防护、入侵检测多方位全面对所关注的网络作全面的评估，然后提出可行的全面解决方案。

综上所述，入侵检测作为一种积极主动的安全防护技术，提供了对内部攻击、外部攻击和误操作的实时保护，使网络系统在受到危害之前即拦截和响应入侵行为，为网络安全增加一道屏障。随着入侵检测的研究与开发，并在实际应用中与其它网络管理软件相结合，使网络安全可以从立体纵深、多层次防御的角度出发，形成人侵检测、网络管理、网络监控三位一体化，从而更加有效地保护网络的安全。

参考文献

l吴新民．两种典型的入侵检测方法研究．计算机工程与应用，2002；38(10)：181—183

2罗妍，李仲麟，陈宪．入侵检测系统模型的比较．计算机应用，2001；21(6)：29～31

3李涣洲．网络安全与入侵检测技术．四川师范大学学报．2001；24(3)：426—428

4张慧敏，何军，黄厚宽．入侵检测系统．计算机应用研究，2001；18(9)：38—4l

入侵检测论文范文第3篇

入侵检测作为一种主动防御技术,弥补了传统安全技术的不足。其主要通过监控网络与系统的状态、用户行为以及系统的使用情况,来检测系统用户的越权使用以及入侵者利用安全缺陷对系统进行入侵的企图,并对入侵采取相应的措施。

一、入侵检测系统概述

入侵检测系统(IntrusionDetectionSystem,简称IDS)可以认为是进行入侵检测过程时所需要配置的各种软件和硬件的组合。对一个成功的入侵检测系统来讲,它不但可使系统管理员时刻了解计算机网络系统(包括程序、文件和硬件设备等)的任何变更,还能给网络安全策略的制订提供指南。更为重要的一点是,对它的管理和配置应该更简单,从而使非专业人员能非常容易地进行操作。而且,入侵检测的规模还应根据网络威胁、系统构造和安全需求的改变而改变。入侵检测系统在发现入侵后,会及时做出响应,包括切断网络连接、记录事件和报警等。

二、入侵检测系统的功能

1.检测入侵。检测入侵行为是入侵检测系统的核心功能,主要包括两个方面:一方面是对进出主机或者网络的数据进行监控,检查是否存在对系统的异常行为;另一方面是检查系统关键数据和文件的完整性,看系统是否己经遭到入侵行为。前者的作用是在入侵行为发生时及时发现,使系统免受攻击;后者一般是在系统遭到入侵时没能及时发现和阻止,攻击的行为已经发生,但可以通过攻击行为留下的痕迹了解攻击行为的一些情况,从而避免再次遭受攻击。对系统资源完整性的检查也有利于我们对攻击者进行追踪,对攻击行为进行取证。

2.抗欺骗。入侵检测系统要识别入侵者,入侵者就会想方设法逃避检测。逃避检测的方法很多,总结起来可分为误报和漏报两大类。一种使入侵检测系统误报的实现形式,是快速告普信息的产生让系统无法反应以致死机,这其实是通用的网络攻击方式一拒绝服务攻击在入侵检测系统上的体现。与误报相比,漏报更具危险性,即躲过系统的检测,使系统对某些攻击方式失效。入侵检测系统无法统一漏报和误报的矛盾,目前的入侵检测产品一般会在两者间进行折衷,并且进行调整以适应不同的应用环境。

3.记录、报警和响应。入侵检测系统在检测到攻击后,应该采取相应的措施来阻止攻击或者响应攻击。作为一种主动防御策略,它必然应该具备此功能。入侵检测系统首先应该记录攻击的基本情况,其次应该能够及时发出报警。好的入侵检测系统,不仅应该把相关数据记录在文件或数据库中,还应该提供好的报表打印功能。必要时,系统还应该采取必要的响应行为,如拒绝接受所有来自某台计算机的数据、追踪入侵行为等。

三、神经系统网络在入侵检测系统中的应用

目前计算机入侵的现状是入侵的数量日益增长、入侵个体的入侵手段和目标系统多种多样,因此要确切的描述入侵特征非常困难,入侵规则库和模式库的更新要求难以得到满足,这就要求入侵检测应该具有相当大的智能性和灵活性,这是多项人工智能技术被相继应用到入侵检测中的原因。

1.传统入侵检测中存在的问题。我们先来分析一下传统IDS存在的问题。传统IDS产品大多都是基于规则的,而这一传统的检测技术有一些难以逾越的障碍:

(1)在基于规则的入侵检测系统中,所有的规则可理解为“IF一THEN”形式,也就是说,这一规则表述的是一种严格的线性关系,缺乏灵活性和适应性,当网络数据出现信息不完整、变形失真或攻击方法变化时,这种检测方法将失效,因此引起较高的误警率和漏报率。

(2)随着攻击类型的多样化,必然导致规则库中的规则不断增多,当这些规则增加到一定程度,会引起系统检测效率的显著降低,在流量较高时,可造成丢包等现象。此外,攻击方法的不断发展,使得传统的入侵检测系统无法有效地预测和识别新的攻击方法,使系统的适应性受到限制。

(3)传统的用来描述用户行为特征的度量一般是凭感觉和经验的,这些度量是否能有效地描述用户行为很难估计。有些度量当考虑所有用户可能是无效的,但当考虑某些特别的用户时,可能又非常有用。

2.神经网络在入侵检测中的应用

作为人工智能(AD)的一个重要分支,神经网络在入侵检测领域得到了很好的应用。神经网络技术在入侵检测系统中用来构造分类器,主要用于资料特征的分析,以发现是否为一种入侵行为。如果是一种入侵行为,系统将与已知入侵行为的特征进行比较,判断是否为一种新的攻击行为,从而决定是进行丢弃还是进行存盘、报警、发送资料特征等工作。神经网络在入侵检测中的具体实现方法一般有两种:

(1)系统或模式匹配系统合并在一起

这种方法不是像以前一样在异常检测中用神经网络代替现有的统计分析部分,而是用神经网络来过滤出数据当中的可疑事件,并把这些事件转交给专家系统处理。这种结构可以通过减少专家系统的误报来提高检测系统的效用。因为神经网络将确定某一特别事件具有攻击迹象的概率,我们就可以确定一个闽值来决定事件是否转交给专家系统作进一步分析,这样一来,由于专家系统只接收可疑事件的数据,它的灵敏度就会大大增加(通常,专家系统以牺牲灵敏度来减少误报率)。这种结构对那些投资专家系统技术的机构大有好处,因为它提高了系统的效用,同时还保护了在现有IDS上的投资。

(2)网络作为一个独立的特征检测系统

在这个结构中,神经网络从网络流中接受数据,并对数据进行分析。任何被识别为带有攻击迹象的事件都将被转交给安全管理员或自动入侵应答系统来处理。这种方法在速度方面超过了以前的方法,因为它只有一个单独的分析层。另外,随着神经网络对攻击特征的学习,这种结构的效用也会不断提高,它不同于第一种方法,不会受专家系统分析能力的限制,而最终将超越专家系统基于规则的种种限制。

参考文献:

入侵检测论文范文第4篇

事实上，数据挖掘的产生是有其必然性的。随着信息时代的到来，各种数据收集设备不断更新，相应的数据库技术也在不断地成熟，使得人们积累的信息量不断增加，为了提高效率，当务之急就是要从海量的数据中找出最有用的信息，这就催生了数据挖掘技术。

2网络入侵检测的重要性与必要性分析

网络入侵检测，就是对网络入侵行为的发觉。与其他安全技术相比而言，入侵检测技术并不是以建立安全和可靠的网络环境为主，而是以分析和处理对网络用户信息构成威胁的行为，进而进行非法控制来确保网络系统的安全。它的主要目的是对用户和系统进行检测与分析，找出系统中存在的漏洞与问题，一旦发现攻击或威胁就会自动及时地向管理人员报警，同时对各种非法活动或异常活动进行识别、统计与分析。

3数据挖掘在网络入侵检测中的应用分析

在使用数据挖掘技术对网络入侵行为进行检测的过程中，我们可以通过分析有用的数据或信息来提取用户的行为特征和入侵规律，进而建立起一个相对完善的规则库来进行入侵检测。该检测过程主要是数据收集——数据预处理——数据挖掘，以下是在对已有的基于数据挖掘的网络入侵检测的模型结构图进行阐述的基础上进行一些优化。

3.1综合了误用检测和异常检测的模型

为改进前综合误用检测和异常检测的模型。从图2可以看出，它是综合利用了误用检测和异常检测模型而形成的基于数据挖掘的网络入侵检测模型。其优点在于通过结合误用检测器和异常检测器，把所要分析的数据信息减少了很多，大大缩小了数据范围。其劣势在于当异常检测器检测到新的入侵检测后，仅仅更新了异常检测器，而没有去及时地更新误用检测器，这就无形中增加了工作量。对于这一不足之处，笔者提出了以下改进意见。

3.2改进后的误用检测和异常检测模型

笔者进行了一些改进，以形成一种更加有利的基于数据挖掘的入侵检测模型，基础上进行了一定的优化。一是把从网络中获取的网络数据包发送到数据预处理器中，由它进行加工处理，然后使用相应的关联规则找出其中具有代表性的规则，放入关联规则集中，接下来用聚类规则将关联规则所得的支持度和可信度进行聚类优化。此后，我们可根据规定的阈值而将一部分正常的数据删除出去，这就大大减少了所要分析的数据量。此时可以把剩下的那些数据发送到误用检测器中进行检测，如果误用检测器也没有检测到攻击行为，则把该类数据发送到异常检测器中再次进行检测，与上面的例子一样，这个异常检测器实际上也起到了一个过滤的作用，以此来把海量的正常数据过滤出去，相应地数据量就会再一次变少，这就方便了后期的挖掘。这一模型系统的一大特点就是为了避免重复检测，利用对数据仓库的更新来完善异常检测器和误用检测器。也就是说，根据异常检测器的检测结果来对异常检测器和误用检测器进行更新，若测得该行为是正常行为，那么就会更新异常检测器，若测得该行为是攻击行为，那么就更新误用检测器来记录该次的行为，从而方便下次进行重复的检测。

4结束语

入侵检测论文范文第5篇

（1）地球站的安全问题地球站作为卫星通信网络地面应用系统的重要组成部分，是负责发送和接收通信信息的地面终端，地球站的数据和发送的信令是用户行为的直接体现。作为卫星通信网络中的节点，地球站的正常运行直接关系到整个卫星通信网络通信的质量高低和安全性。地球站异常包括很多方面，除了地球站本身的故障之外，还包括地球站被仿冒、丢失，被非法用户使用或者被敌方缴获等。在非安全的环境下，敌方可以通过监听网络、控制信道，分析网络管理信息的模式、格式和内容，获得通信网的大量信息，这些信息包括网内地球站成员及其入退网事件，通信流量和多个地球站之间的通信频率。同时，也可以直接伪造、篡改网控中心信息、对地球站设置非法参数、干扰地球站的通信流程、使地球站之间的通信失败、使合法用户异常退网。敌方还可以侵入地球站，干扰网管主机、窃取网络配置信息、篡改网络运行参数等。造成地球站异常的这些原因中，由于用户的非法操作和非法用户的入侵行为引起的异常，对卫星网的安全威胁更大，造成的损失更严重。因此，通过卫星网络检测到地球站的行为异常，对整个卫星通信网的安全运行具有重要的意义。（2）地球站的工作网管中心相当于管理器，主要完成网络管理与控制功能，是全网的核心控制单元（ControlUnit，CU），其信令在卫星网中担负网络管理协议的作用。网络管理与控制功能可以是集中式或分散式，对于星上透明转发卫星通信系统，卫星不具有星上处理能力，只完成放大、转发的功能，由地面的主站集中进行网络管理与控制。卫星网管作为一个资源管理控制系统，它对全网的信道资源、地球站配置资源、用户号码资源进行控制；同时它作为操作员对全网的通信进行控制、检测和干预，向用户提供配置资源管理查看的接口以及资源状态显示和统计接口，并将当前通信系统中的异常情况向用户进行报告；它还具备用户设备操作权限管理、网控中心其它设备管理等功能。

2卫星通信网入侵检测系统的实现

2．1入侵检测系统的体系结构

入侵检测是检测计算机网络和系统以发现违反安全策略事件的过程。如图2所示，作为入侵检测系统至少应该包括三个功能模块：提供事件记录的信息源、发现入侵迹象的分析引擎和基于分析引擎的响应部件。CIDF阐述了一个入侵检测系统的通用模型，即入侵检测系统可以分为4个组件：事件产生器、事件分析器、响应单元、事件数据库。

2．2入侵检测系统的功能

卫星通信网络采用的是分布式的入侵检测系统，其主要功能模块包括：（1）数据采集模块。收集卫星发送来的各种数据信息以及地面站提供的一些数据，分为日志采集模块、数据报采集模块和其他信息源采集模块。（2）数据分析模块。对应于数据采集模块，也有三种类型的数据分析模块：日志分析模块、数据报分析模块和其他信息源分析模块。（3）告警统计及管理模块。该模块负责对数据分析模块产生的告警进行汇总，这样能更好地检测分布式入侵。（4）决策模块。决策模块对告警统计上报的告警做出决策，根据入侵的不同情况选择不同的响应策略，并判断是否需要向上级节点发出警告。（5）响应模块。响应模块根据决策模块送出的策略，采取相应的响应措施。其主要措施有：忽略、向管理员报警、终止连接等响应。（6）数据存储模块。数据存储模块用于存储入侵特征、入侵事件等数据，留待进一步分析。（7）管理平台。管理平台是管理员与入侵检测系统交互的管理界面。管理员通过这个平台可以手动处理响应，做出最终的决策，完成对系统的配置、权限管理，对入侵特征库的手动维护工作。

2．3数据挖掘技术

入侵检测系统中需要用到数据挖掘技术。数据挖掘是从大量的、不完全的、有噪声的、模糊的、随机的数据中提取隐含在其中的、人们事先不知道的、但又是潜在有用的信息和知识的过程。将数据挖掘技术应用于入侵检测系统的主要优点：（1）自适应能力强。专家根据现有的攻击从而分析、建立出它们的特征模型作为传统入侵检测系统规则库。但是如果一种攻击跨越较长一段时间，那么原有的入侵检测系统规则库很难得到及时更新，并且为了一种新的攻击去更换整个系统的成本将大大提升。因为应用数据挖掘技术的异常检测与信号匹配模式是不一样的，它不是对每一个信号一一检测，所以新的攻击可以得到有效的检测，表现出较强实时性。（2）误警率低。因为现有系统的检测原理主要是依靠单纯的信号匹配，这种生硬的方式，使得它的报警率与实际情况不一致。数据挖掘技术与入侵检测技术相结合的系统是从等报发生的序列中发现隐含在其中的规律，可以过滤出正常行为的信号，从而降低了系统的误警率。（3）智能性强。应用了数据挖掘的入侵检测系统可以在人很少参与的情况下自动地从大量的网络数据中提取人们不易发现的行为模式，也提高了系统检测的准确性。

3结束语

入侵检测论文范文第6篇

关键词：校园网络；黑客攻击；入侵技术

1 校园网络安全现状

随着网络应用的普及，电子商务！电子银行和电子政务等网络服务的大力发展，网络在人们日常生活中的应用越来越多重要性越来越大，网络攻击也越来越严重。有一些人专门利用他们掌握的信息技术知识从事破坏活动，入侵他人计算机系统窃取！修改和破坏重要信息，给社会造成了巨大的损。随着攻击手段的变化，传统的以身份验证、加密、防火墙为主的静态安全防护体系已经越来越难以适应日益变化的网络环境，尤其是授权用户的滥用权利行为，几乎只有审计才能发现园网是国内最大的网络实体，如何保证校园网络系统的安全，是摆在我们面前的最重要问题。

因此，校园网对入侵检测系统也有着特别的需求校园网的特点是在线用户比率高、上网时间长、用户流量大、对服务器访问量大，这种情况下，校园网络面临着许多安全方面的威胁：

（1）黑客攻击，特别是假冒源地址的拒绝服务攻击屡有发生攻击者通过一些简单的攻击工具，就可以制造危害严重的网络洪流，耗尽网络资源或使主机系统资源遭到攻击同时，攻击者常常借助伪造源地址的方法，使网络管理员对这种攻击无可奈何。

（2）病毒和蠕虫，在高速大容量的局域网络中，各种病毒和蠕虫，不论新旧都很容易通过有漏洞的系统迅速传播扩散"其中，特别是新出现的网络蠕虫，常常可以在爆发初期的几个小时内就闪电般席卷全校，造成网络阻塞甚至瘫痪。

（3）滥用网络资源，在校园网中总会出现滥用带宽等资源以致影响其他用户甚至整个网络正常使用的行为如各种扫描、广播、访问量过大的视频下载服务等等。入侵检测系统（IntrusionDeteetionSystem，IDS）的出现使得我们可以主动实时地全面防范网络攻击N工DS指从网络系统的若干节点中搜集信息并进行分析，从而发现网络系统中是否有违反安全策略的行为，并做出适当的响应"它既能检测出非授权使用计算机的用户，也能检测出授权用户的滥用行为。

IDS按照功能大致可划分为主机入侵检测（HostIDS，HIDS）网络入侵检测（NetworkIDS，NIDS）分布式入侵检测（DistributedIDS，DIDS）其中，网络入侵检测的特点是成本低，实时地检测和分析，而且可以检测到未成功的攻击企图"从分析方法的角度可分为异常检测（Anomaly DeteCtion）和误用检测（MISuseDeteCtion）其中误用检测是指定义一系列规则，符合规则的被认为是入侵其优点是误报率低、开销小、效率高Snort作为IDS的经典代表，是基于网络和误用检测的入侵检测系统入侵检测技术自20世纪80年代早起提出以来，在早期的入侵检测系统中，大多数是基于主机的，但是在过去的10年间基于网络的入侵检测系统占有主要地位，现在和未来的发展主流将是混合型和分布式形式的入侵检测系统。

2 入侵检测研究现状

国外机构早在20世纪80年代就开展了相关基础理论研究工作。经过20多年的不断发展，从最初的一种有价值的研究想法和单纯的理论模型，迅速发展出种类繁多的各种实际原型系统，并且在近10年内涌现出许多商用入侵检测系统，成为计算机安全防护领域内不可缺少的一种安全防护技术。Anderson在1980年的报告“Computer Seeurity Threat Monitoring and Surveillance”中，提出必须改变现有的系统审计机制，以便为专职系统安全人员提供安全信息，此文被认为是有关入侵检测的最早论述；1984一1986年，Dorothy E.Denning和Peter G.Neumann联合开发了一个实时IDES（Intrusion DeteCtion Expert System），IDES采用统计分析，异常检测和专家系统的混合结构，Delming1986年的论文“An Intrusion Deteetion Modelo”，被公认为是入侵检测领域的另一开山之作"。1987年，Dorothy Denning发表的经典论文AnIntursion Deteetion Modelo中提出了入侵检测的基本模型，并提出了几种可用于入侵检测的统计分析模型。Dnening的论文正式启动了入侵检测领域的研究工作，在发展的早期阶段，入侵检测还仅仅是个有趣的研究领域，还没有获得计算机用户的足够注意，因为，当时的流行做法是将计算机安全的大部分预算投入到预防性的措施上，如：加密、身份验证和访问控制等方面，而将检测和响应等排斥在外。到了1996年后，才逐步出现了大量的商用入侵检测系统。从20世纪90年代到现在，入侵检测系统的研发呈现出百家争鸣的繁荣局面，并在智能化和分布式两个方向取得了长足的进展。其中一种主要的异常检测技术是神经网络技术，此外，如基于贝叶斯网络的异常检测方法，基于模式预测的异常检测方法，基于数据挖掘的异常检测方法以及基于计算机免疫学的检测方法也相继出现，对于误用入侵检测也有多种检测方法，如专家系统（expert system），特征分析（Signature analysis），状态转移分析（State transition analysis）等.

入侵检测系统的典型代表是ISSInc（国际互联网安全系统公司）Rea1Secure产品。较为著名的商用入侵检测产品还有：NAJ公司的CyberCoPMoitor、Axent公司的Netprowler、CISCO公司的Netranger、CA公司的SeSSionwall-3等。目前，普渡大学、加州大学戴维斯分校、洛斯阿拉莫斯国家实验室、哥伦比亚大学、新墨西哥大学等机构在这些方面的研究代表了当前的最高水平。随着计算机系统软、硬件的飞速发展，以及网络技术、分布式计算！系统工程！人工智能等计算机新兴技术与理论的不断发展与完善，入侵检测理论本身也处于发展变化中，但还未形成一个比较完整的理论体系。

在国内，随着上网的关键部门、关键业务越来越多，更需要具有自主版权的入侵检测产品。我国在这方面的研究相对晚，国内的该类产品较少，但发展较快，己有总参北方所、中科网威、启明星辰，H3C等公司推出产品。至今日入侵检测技术仍然改变了以往被动防御的特点，使网络管理员能够主动地实时跟踪各种危害系统安全的入侵行为并做出及时的响应，尤其在抵御网络内部人员的破坏时更有独到的特点，因而成为了防火墙之后的又一道安全防线。

随着互联网的进一步普及和深入，入侵检测技术有着更广泛的发展前途和实际价值。尽管问题尚存，但希望更大，相信目前正在研究的大规模分布式入侵检测系统、基于多传感器的数据融合、基于计算机免疫技术、基于神经网络及基于遗传算法等的新一代入侵检测系统一定能够解决目前面临到种种问题，更好地完成抵御入侵的任务。

3 未来和展望

随着网络规模和复杂程度的不断增长，如何在校园网多校区乃至异构网络环境下收集和处理分布在网络各处的不同格式信息！如何进行管理域间的合作以及保证在局部入侵检测失效的情况下维持系统整体安全等"同时，伴随着大量诸如高速/超高速接入手段的出现，如何实现高速/超高速网络下的实时入侵检测。降低丢包率也成为一个现实的问题，面对G级的网络数据流量，传统的软件结构和算法都需要重新设计；开发和设计适当的专用硬件也成为研究方向之一"时至今日，入侵检测系统的评估测试方面仍然不成熟，如何对入侵检测系统进行评估是一个重要而敏感的话题。

参考文献

[1]董明明，巩青歌.Snort规则集的优化方法.计算机安全.2009.8：35-37

入侵检测论文范文第7篇

关键词： 网络入侵数据检测； 离散化处理； 遗传算法； 数据约简

中图分类号： TN711?34； TP393 文献标识码： A 文章编号： 1004?373X（2017）04?0028?04

Research of public network intrusion detection method based on rough set theory

PANG Bangyan， ZHANG Yanmin

（Basic Teaching Department， Shangqiu Institute of Tecnology， Shangqiu 476000， China）

Abstract： Traditional method exists high redundancy， large dimension， poor accuracy and so on in the process of public network intrusion data detection. In order to improve the real?time performance and effectiveness of public network security protection， a public network detection method based on the improved rough set theory is put forward to detect and screen the data which has invasion risk， optimize the detecting accuracy based on rough set concept， and reduce the information loss. The MDLP operational criterion is adopted to complete the discretization processing of the data. The genetic algorithm is used to carry on the data reduction， derive data classification rules and identify the intrusion data. The simulation results show that the proposed intrusion data detection method is more effective in the aspects of intrusion detection rate and error rate in comparison with the traditional algorithm.

Keywords： network intrusion data detection； neural network； genetic algorithm； data reduction

0 引 言

近年来信息技术迅猛发展，公共网络已逐渐成为全世界范围内最重要的基础设施之一，对社会各个方面及人类的生产生活方式产生了巨大的影响。网络代表的开放式信息平台是现代信息社会的发展趋势，但网络的开放性同样会带来风险，尤其是和大众联系紧密的公共网络。公共网络攻击行为时有发生， 客观上迫切要求建立有效的入侵检测系统。入侵z测技术经过几十年的发展， 有一定的进步，但传统方法存在时效性和精简性不足的问题。文献[1]提出入侵检测系统的基础是抽象模型模式匹配，尽管在某些领域内也取得了一些进步，但是随着公共网络的发展和壮大及恶意入侵方式的多样化，这种方法已经不适应目前公共网络的发展趋势要求。本文提出的方法基于优化粗糙集理论对网络入侵原始数据进行处理和分析[2?4]。运用MDLP运算准则完成对入侵数据的离散化处理[5?6]，使用遗传算法对数据进行属性约简，降低维数、去除冗余[7?8]， 将导出数据分类规则并对入侵数据进行报警处理，试验证明了本文提出方法能够提高数据的检测率，降低误报警次数，运算简捷同时易于理解[1]。

1 基于优化RS入侵检测方法研究

1.1 优化粗糙集理论

本文将基于优化粗糙集理论用于实现对公共网络入侵数据的检测。粗糙集理论是一种数学工具，主要描述不完整性和不确定性。可以有效地对各种不完整、不一致、不精确数据信息进行处理，还能够通过分析和推理数据信息，揭示出潜在规律和隐含其中的知识。粗糙集理论最显著的特点是不需要其他任何的先验知识，仅利用数据本身提供的信息可以完成检测。粗糙集理论开辟了一条全新的路径来处理攻击检测样本数据中不易分辨的数据。通常粗糙集方法和模型包括条件属性和决策属性，在不丢失信息前提下对数据进行预处理，应用同样知识进行最小条件属性集约简，保持决策系统相同分类能力的最简形式本文。优化粗糙集相关原理如下：

（1） 给定公共网络数据集合X和数据集合Y，其中集合Y是集合X的是等价关系，在X基础对Y进行划分，命名为知识，记为。设定四元组表达系统，U为对象的非空有限集合为论域；R是属性的非空有限集合；V：Va，Va，Va是属性a的值域；f 是一个信息函数，aR，xU，f（x，a）Va。

（2） 给定基于公共网络数据的关系系统L=（X，Y） 是知识库，Y是X上等价关系的一个族集，X 为论域；令ZX，Y为X上的一个等价关系。Z的X下近似值：

YZ={H}

Z的Y上近似值：

YZ={HQ≠}

（3） 集合EF，如果E独立，ind（E）=ind（F）， E为F的一个约简。F中所有必要关系集合记作CORE（F）。核与约简有如下关系：

CORE（F）=RED（N）

（4） 设定W=（K，R，V，f）为知识系统，O=PQ，

PQ= ，Q是条件属性集，O是决策属性集，P和Q构成决策表。若Q和T是公式，则QT，QT。令公式 PQ为决策规则，Q和T表达一种因果关系成为规则前、后件。

（5） 对粗糙集优化的实现流程是通过修正和调整阈值各项参数，对传统粗糙集理论的近似边界的严格定义进行宽泛化处理。量度不确定是优化粗糙集最大特点，评价一个决策规则是否有效，可以使用两个指标来评价其优劣： 覆盖度和准确度。其定义式分别为式（1）和式（2）：

对粗糙集的优化处理能够使其覆盖度和准确度提高。

在上述优化粗糙集原理中，属性知识和数据集合被认为是分类能力。粗糙集理论的主要思想是在保持分类能力不变的前提下利用等价关系来对对象集合进行划分，通过对数据的预处理、离散化、知识约简，得出问题的分类规则和决策。由于粗糙集边界经过优化即宽泛化处理，覆盖度和准确度都有所提高，能够更好地实现对入侵数据检测和识别。

1.2 公共网络入侵检测方法研究

基于优化粗糙集的公共网络入侵检测实现流程，如图1所示，主要是根据获取的网络数据连接通过对公共网络数据进行筛选和分析，将进入数据库的原始数据进行离散化处理和遗传数据约简，产生规则集来检测实时的网络数据是攻击数据还是正常连接。

公共网络数据入侵检测流程中对原始数据进行离散化处理和属性约简是最为重要的步骤。包含入侵风险原始数据从公共网络进入数据接收器是不完备和缺失的，由于原始数据的不完备和缺失导致数据信息系统不完备，进入数据库的各种不同的待处理的数据以离散的表现形式存在。运用基于优化的粗糙集方法首先需要对这些原始数据进行预处理然后对数据进行属性约简。对数据的预处理即根据原始数据的数值缺失和不全是离散值的情况特点对数据进行离散化处理。

在对公共网络数据进行入侵检测过程中，MDLD是一种有效的数据信息离散化处理方法，该方法相对独立地按照每个属性的作用，将其持续地获取数据值范围分成合适数量和宽度的子区间，分类嫡设定包含m个类别的数据集U，分布概率分别为数据集U的m个类别分类嫡如下：

（3）

分类嫡是描述上述数据集类别的精度，属性A对S划分后的嫡设属性W将U分为n个子集分类嫡为每个子集U′的嫡加权和比较如式（4）～式（7）所示：

（4）

其中：

（5）

（6）

（7）

从以上数学公式可以推理得出拥有最高信息增益的数据属性是给定集合中具有最高区分度的属性，具有最高增益的离散域值也具有最高的区分度。通过以上的数学方法就完成对粗糙集的数据缺失和非全部离散值的问题进行了离散化处理。

预处理完毕后对数据属性约简是实现入侵数据检测的下一个重要步骤，数据约简可以减少信息的处理量和存储量。基于优化粗糙集的数据约简是通过对属性排序并计算其重要性而实现的。在复杂的数据关系中找出与原始数据具有相同或相似辨别能力的相关属性的最小集合，实现信息约简找出数据库中最简洁、最适用的知识规则。运用遗传算法作全局最优点搜索，识别最优算法参数和初始状态，可以以更短的时间得到更优的属性集约简。

本文采用遗传算法对数据集进行约简，其基本流程把控制序列编码为一个染色体，通过遗传算法来产生控制序列。由于遗传搜索是从决策表的属性核出发，并在整个进化过程中保持不变。选取适应度函数：需要满足条件属性对决策属性依赖度最大和条件属性个数最少这两个条件，才能在属性集是最小约简。对应的函数关系如下：

（8）

式中：A为二进制串长度；CARD（x）表示体数量；B（x）表示条件属性对决策属性的依赖度。通过对算子的选择、交叉和变异，最终实现稳态繁殖，将属性核加入初始种群，减小了搜索范围，同时交叉和变异不会破坏基因位并可以加快收敛速度，保证入侵数据属性集是最小约简。

通过优化粗糙集对数据进行分辨和规则提取后，数据的准确度和覆盖度都有所提高，证明粗糙集经过优化的有效性，对生成的规则进行过滤和提取，去除置信度低的、冗余的规则。提取规则的流程是从经过处理的决策表中抽取出以规则形式表述的知识，将某些去掉后不影响决策结果生成的规则过滤掉。按照以上的流程和最终提取的规则就完成了对公共网络数据入侵数据的入侵检测，按照形成的规则检测出可疑数据并对入侵报警。

2 试验结果与分析

本文通过仿真试验分别对基于优化粗糙集公共网络入侵检测方法和主成分分析（PCA）入侵检测算法进行了效果对比。

通过试验证明本文提出的设计方法有较高的检测率、更加低的误报率，同时训练时间上要比其他算法要低，本文提出的算法具有精确性和有效性。试验数据来自网络入侵检测评判数据库，包含了30余种数据攻击类型如PROBING类型，U2R类型，DDoS等类型。将实验数据分成3组，数据的选择如表1所示。

表1 试验数据

为了验证本文算法对网络入侵检测性能具有更明显的有效性，试验对PCA算法和基于优化粗糙集公共网络入侵检测方法的有效性进行了充分的数据对比。实验结果如表2～表4 所示。

在U2R型数据入侵检测中PCA方法的检测率、误差率和训练时间分别为86.93%，44.81%，0.51 s；而基于优化粗糙集的公共网络检测系统在这三个指标的对比中都具有优势，检测率提高到95.28%，误差率大幅度降低到28.23%，时间缩短到0.29 s。通过数据对比，本文提出的方法在应对U2R型数据攻击时具有优势。

应对PROBING型数据入侵检测中PCA方法的检测率、误差率和训练时间分别为82.26%，40.23%，0.56 s。而基于优化粗糙集的公共网络检测系统在这三个指标的对比中都具有优势，检测率也同样具有优势，三个指标分别可以达到93.12%，27.96%和0.21 s。

DDoS是一种新型的更具破坏性的攻击方式，是利用更多的傀儡机来发起进攻，以比以前更大的规模来进攻公共网络。从表4的数据来看，在应对新型的数据入侵传统的PCA算法在检测率、误差率和训练时间上显示出的时效性更差。而相反基于优化粗糙集的神经网络算法在以上指标表现时更为有效。

从以上 3个表中可以很明显看出，不论是3种数据类型中的哪一种，本文所提出的基于优化粗糙集神经网络入侵检测算法模型的检测率比PCA算法模型在效率和精确度方面有明显的提高，而且模型的误报率以及平均检测时间也要比PCA模型要低，仿真试验表明本文提出基于优化RS入侵检测方法能够在很大程度上提高公共网络的安全入侵检测可靠性，将提出的基于优化RS的公共网络入侵方法用于公共网络入侵行为是一个行之有效的方案。

入侵检测率指标是衡量入侵检测方法是否行之有效的最重要指标，通过仿真试验对本文提出的方法和PCA方法应对常见的攻击方式得出的数据进行统计绘制成检测率综合比较图，如图2所示，本文提出的方法综合检测率在90%以上，在应对常见网络数据攻击行为时具有良好的有效性。

基于粗糙集的公共网络入侵检测系统利用网络工具箱进行测试和训练，实验得到的均方根误差如图3所示。

从实验的仿真结果可以看出，将基于优化粗糙集公共网络入侵方法用于数据入侵检测，较为明显地降低了系统的误报率，提高了各种攻击类型的检测率和目标精度，而且速度较快、收敛容易，有效地改进了公共网络入侵检测系统的性能。

本文的试验分别对基于优化粗糙集公共网络入侵检测方法和主成分分析（ PCA）入侵检测算法进行了数据对比可以看出本文提出的设计方法有高检测率、低的误报率，和更短的训练时间。试验证明本文提出的方法更加实用和有效。

3 结 语

伴随公共网络数据入侵问题的凸显，有效入侵检测成为公共网络安全中一个极为重要的课题。针对传统公共网络入侵检测原始数据精确度低、数据量大、维数多、入侵检测系统误报率、漏报率偏高的现状，在深入研究入粗糙集理论的基础上，本文提出将优化粗糙集理论应用于公共网络入侵检测系统设计。经过大量仿真实验结果证明本文提出的方法是一种高效率、高检测率的网络入侵检测方法，这种优化设计入侵检测系统将会有广泛的应用前景。

参考文献

[1] ZHANG Lianhua， ZHANG Guanhua， YU Lang， et al. Intrusion detection using rough set classification [J]. Journal of Zhejiang University Science， 2004， 5（9）： 1076?1086.

[2] LEE W， STOLFO S J， MOK K. Data mining in workflow environments： Experiences in intrusion detection [C]//Proceedings of the 1999 Conference on Knowledge Discovery and Data Mining（KDD99）. AC： CAM Press，1999： 111?120.

[3] 王永全.入侵检测系统（IDS）的研究现状和展望[J].通信技术，2008，41（11）：139?143.

[4] WELCH C D J， LATHROP M S D. A Survey of 802： Wireless security threats and security mechanisms [R]. West Point， NewYork： United states Military Academy， 2003.

[5] 马海峰，宋进峰，岳新.遗传算法优化的混合神经网络入侵检测系统[J].通信技术，2009，42（9）：106?108.

[6] 王文莉，侯丽敏.基于领域粗糙集的入侵检测[J].传感器与微系统，2010，29（6）：36?38.

入侵检测论文范文第8篇

关键词入侵检测异常检测误用检测

在网络技术日新月异的今天，论文基于网络的计算机应用已经成为发展的主流。政府、教育、商业、金融等机构纷纷联入internet，全社会信息共享已逐步成为现实。然而，近年来，网上黑客的攻击活动正以每年10倍的速度增长。因此，保证计算机系统、网络系统以及整个信息基础设施的安全已经成为刻不容缓的重要课题。

1 防火墙

目前防范网络攻击最常用的方法是构建防火墙。

防火墙作为一种边界安全的手段，在网络安全保护中起着重要作用。其主要功能是控制对网络的非法访问，通过监视、限制、更改通过网络的数据流，一方面尽可能屏蔽内部网的拓扑结构，另一方面对内屏蔽外部危险站点，以防范外对内的非法访问。然而，防火墙存在明显的局限性。

(1)入侵者可以找到防火墙背后可能敞开的后门。如同深宅大院的高大院墙不能挡住老鼠的偷袭一样，防火墙有时无法阻止入侵者的攻击。

(2)防火墙不能阻止来自内部的袭击。调查发现，50％的攻击都将来自于网络内部。

(3)由于性能的限制，防火墙通常不能提供实时的入侵检测能力。毕业论文 而这一点，对于层出不穷的网络攻击技术来说是至关重要的。

因此，在internet入口处部署防火墙系统是不能确保安全的。单纯的防火墙策略已经无法满足对安全高度敏感部门的需要，网络的防卫必须采用一种纵深的、多样化的手段。

由于传统防火墙存在缺陷，引发了入侵检测ids(intrusion detection system)的研究和开发。入侵检测是防火墙之后的第二道安全闸门，是对防火墙的合理补充，在不影响网络性能的情况下，通过对网络的监测，帮助系统对付网络攻击，扩展系统管理员的安全管理能力(包括安全审计、监视、进攻识别和响应)，提高信息安全基础结构的完整性，提供对内部攻击、外部攻击和误操作的实时保护。现在，入侵检测已经成为网络安全中一个重要的研究方向，在各种不同的网络环境中发挥重要作用。

2 入侵检测

2．1 入侵检测

入侵检测是通过从计算机网络系统中的若干关键点收集信息并对其进行分析，从中发现违反安全策略的行为和遭到攻击的迹象，并做出自动的响应。其主要功能是对用户和系统行为的监测与分析、系统配置和漏洞的审计检查、重要系统和数据文件的完整性评估、已知的攻击行为模式的识别、异常行为模式的统计分析、操作系统的审计跟踪管理及违反安全策略的用户行为的识别。入侵检测通过迅速地检测入侵，在可能造成系统损坏或数据丢失之前，识别并驱除入侵者，使系统迅速恢复正常工作，并且阻止入侵者进一步的行动。同时，收集有关入侵的技术资料，用于改进和增强系统抵抗入侵的能力。

入侵检测可分为基于主机型、基于网络型、基于型三类。从20世纪90年代至今，英语论文 已经开发出一些入侵检测的产品，其中比较有代表性的产品有iss(intemet security system)公司的realsecure，nai(network associates，inc)公司的cybercop和cisco公司的netranger。

2．2 检测技术

入侵检测为网络安全提供实时检测及攻击行为检测，并采取相应的防护手段。例如，实时检测通过记录证据来进行跟踪、恢复、断开网络连接等控制；攻击行为检测注重于发现信息系统中可能已经通过身份检查的形迹可疑者，进一步加强信息系统的安全力度。入侵检测的步骤如下：

收集系统、网络、数据及用户活动的状态和行为的信息

入侵检测一般采用分布式结构，在计算机网络系统中的若干不同关键点(不同网段和不同主机)收集信息，一方面扩大检测范围，另一方面通过多个采集点的信息的比较来判断是否存在可疑现象或发生入侵行为。

入侵检测所利用的信息一般来自以下4个方面：系统和网络日志文件、目录和文件中的不期望的改变、程序执行中的不期望行为、物理形式的入侵信息。

(2)根据收集到的信息进行分析

常用的分析方法有模式匹配、统计分析、完整性分析。模式匹配是将收集到的信息与已知的网络入侵和系统误用模式数据库进行比较，从而发现违背安全策略的行为。

统计分析方法首先给系统对象(如用户、文件、目录和设备等)创建一个统计描述，统计正常使用时的一些测量属性。测量属性的平均值将被用来与网络、系统的行为进行比较。当观察值超出正常值范围时，就有可能发生入侵行为。该方法的难点是阈值的选择，阈值太小可能产生错误的入侵报告，阈值太大可能漏报一些入侵事件。

完整性分析主要关注某个文件或对象是否被更改，包括文件和目录的内容及属性。该方法能有效地防范特洛伊木马的攻击。

3 分类及存在的问题

入侵检测通过对入侵和攻击行为的检测，查出系统的入侵者或合法用户对系统资源的滥用和误用。工作总结 根据不同的检测方法，将入侵检测分为异常入侵检测(anomaly detection)和误用人侵检测(misuse detection)。

3．1 异常检测

又称为基于行为的检测。其基本前提是：假定所有的入侵行为都是异常的。首先建立系统或用户的“正常”行为特征轮廓，通过比较当前的系统或用户的行为是否偏离正常的行为特征轮廓来判断是否发生了入侵。此方法不依赖于是否表现出具体行为来进行检测，是一种间接的方法。

常用的具体方法有：统计异常检测方法、基于特征选择异常检测方法、基于贝叶斯推理异常检测方法、基于贝叶斯网络异常检测方法、基于模式预测异常检测方法、基于神经网络异常检测方法、基于机器学习异常检测方法、基于数据采掘异常检测方法等。

采用异常检测的关键问题有如下两个方面：

(1)特征量的选择

在建立系统或用户的行为特征轮廓的正常模型时，选取的特征量既要能准确地体现系统或用户的行为特征，又能使模型最优化，即以最少的特征量就能涵盖系统或用户的行为特征。

(2)参考阈值的选定

由于异常检测是以正常的特征轮廓作为比较的参考基准，因此，参考阈值的选定是非常关键的。

阈值设定得过大，那漏警率会很高；阈值设定的过小，则虚警率就会提高。合适的参考阈值的选定是决定这一检测方法准确率的至关重要的因素。

由此可见，异常检测技术难点是“正常”行为特征轮廓的确定、特征量的选取、特征轮廓的更新。由于这几个因素的制约，异常检测的虚警率很高，但对于未知的入侵行为的检测非常有效。此外，由于需要实时地建立和更新系统或用户的特征轮廓，这样所需的计算量很大，对系统的处理性能要求很高。

3．2 误用检测

又称为基于知识的检测。其基本前提是：假定所有可能的入侵行为都能被识别和表示。首先，留学生论文 对已知的攻击方法进行攻击签名(攻击签名是指用一种特定的方式来表示已知的攻击模式)表示，然后根据已经定义好的攻击签名，通过判断这些攻击签名是否出现来判断入侵行为的发生与否。这种方法是依据是否出现攻击签名来判断入侵行为，是一种直接的方法。

常用的具体方法有：基于条件概率误用入侵检测方法、基于专家系统误用入侵检测方法、基于状态迁移分析误用入侵检测方法、基于键盘监控误用入侵检测方法、基于模型误用入侵检测方法。误用检测的关键问题是攻击签名的正确表示。

误用检测是根据攻击签名来判断入侵的，根据对已知的攻击方法的了解，用特定的模式语言来表示这种攻击，使得攻击签名能够准确地表示入侵行为及其所有可能的变种，同时又不会把非入侵行为包含进来。由于多数入侵行为是利用系统的漏洞和应用程序的缺陷，因此，通过分析攻击过程的特征、条件、排列以及事件间的关系，就可具体描述入侵行为的迹象。这些迹象不仅对分析已经发生的入侵行为有帮助，而且对即将发生的入侵也有预警作用。

误用检测将收集到的信息与已知的攻击签名模式库进行比较，从中发现违背安全策略的行为。由于只需要收集相关的数据，这样系统的负担明显减少。该方法类似于病毒检测系统，其检测的准确率和效率都比较高。但是它也存在一些缺点。

3．2．1 不能检测未知的入侵行为

由于其检测机理是对已知的入侵方法进行模式提取，对于未知的入侵方法就不能进行有效的检测。也就是说漏警率比较高。

3．2．2 与系统的相关性很强

对于不同实现机制的操作系统，由于攻击的方法不尽相同，很难定义出统一的模式库。另外，误用检测技术也难以检测出内部人员的入侵行为。

目前，由于误用检测技术比较成熟，多数的商业产品都主要是基于误用检测模型的。不过，为了增强检测功能，不少产品也加入了异常检测的方法。

4 入侵检测的发展方向

随着信息系统对一个国家的社会生产与国民经济的影响越来越大，再加上网络攻击者的攻击工具与手法日趋复杂化，信息战已逐步被各个国家重视。近年来，入侵检测有如下几个主要发展方向：

4．1 分布式入侵检测与通用入侵检测架构

传统的ids一般局限于单一的主机或网络架构，对异构系统及大规模的网络的监测明显不足，再加上不同的ids系统之间不能很好地协同工作。为解决这一问题，需要采用分布式入侵检测技术与通用入侵检测架构。

4．2应用层入侵检测

许多入侵的语义只有在应用层才能理解，然而目前的ids仅能检测到诸如web之类的通用协议，而不能处理lotus notes、数据库系统等其他的应用系统。许多基于客户／服务器结构、中间件技术及对象技术的大型应用，也需要应用层的入侵检测保护。

4．3 智能的入侵检测

入侵方法越来越多样化与综合化，尽管已经有智能体、神经网络与遗传算法在入侵检测领域应用研究，但是，这只是一些尝试性的研究工作，需要对智能化的ids加以进一步的研究，以解决其自学习与自适应能力。

4．4 入侵检测的评测方法

用户需对众多的ids系统进行评价，评价指标包括ids检测范围、系统资源占用、ids自身的可靠性，从而设计出通用的入侵检测测试与评估方法与平台，实现对多种ids的检测。

4．5 全面的安全防御方案

结合安全工程风险管理的思想与方法来处理网络安全问题，将网络安全作为一个整体工程来处理。从管理、网络结构、加密通道、防火墙、病毒防护、入侵检测多方位全面对所关注的网络作全面的评估，然后提出可行的全面解决方案。

综上所述，入侵检测作为一种积极主动的安全防护技术，提供了对内部攻击、外部攻击和误操作的实时保护，使网络系统在受到危害之前即拦截和响应入侵行为，为网络安全增加一道屏障。随着入侵检测的研究与开发，并在实际应用中与其它网络管理软件相结合，使网络安全可以从立体纵深、多层次防御的角度出发，形成人侵检测、网络管理、网络监控三位一体化，从而更加有效地保护网络的安全。

参考文献

l 吴新民．两种典型的入侵检测方法研究．计算机工程与应用，2002；38(10)：181—183

2 罗妍，李仲麟，陈宪．入侵检测系统模型的比较．计算机应用，2001；21(6)：29～31

3 李涣洲．网络安全与入侵检测技术．四川师范大学学报．2001；24(3)：426—428

4 张慧敏，何军，黄厚宽．入侵检测系统．计算机应用研究，2001；18(9)：38—4l

入侵检测论文范文第9篇

关键词入侵检测异常检测误用检测

在网络技术日新月异的今天，写作论文基于网络的计算机应用已经成为发展的主流。政府、教育、商业、金融等机构纷纷联入Internet，全社会信息共享已逐步成为现实。然而，近年来，网上黑客的攻击活动正以每年10倍的速度增长。因此，保证计算机系统、网络系统以及整个信息基础设施的安全已经成为刻不容缓的重要课题。

1防火墙

目前防范网络攻击最常用的方法是构建防火墙。

防火墙作为一种边界安全的手段，在网络安全保护中起着重要作用。其主要功能是控制对网络的非法访问，通过监视、限制、更改通过网络的数据流，一方面尽可能屏蔽内部网的拓扑结构，另一方面对内屏蔽外部危险站点，以防范外对内的非法访问。然而，防火墙存在明显的局限性。

(1)入侵者可以找到防火墙背后可能敞开的后门。如同深宅大院的高大院墙不能挡住老鼠的偷袭一样，防火墙有时无法阻止入侵者的攻击。

(2)防火墙不能阻止来自内部的袭击。调查发现，50％的攻击都将来自于网络内部。

(3)由于性能的限制，防火墙通常不能提供实时的入侵检测能力。写作毕业论文而这一点，对于层出不穷的网络攻击技术来说是至关重要的。

因此，在Internet入口处部署防火墙系统是不能确保安全的。单纯的防火墙策略已经无法满足对安全高度敏感部门的需要，网络的防卫必须采用一种纵深的、多样化的手段。

由于传统防火墙存在缺陷，引发了入侵检测IDS(IntrusionDetectionSystem)的研究和开发。入侵检测是防火墙之后的第二道安全闸门，是对防火墙的合理补充，在不影响网络性能的情况下，通过对网络的监测，帮助系统对付网络攻击，扩展系统管理员的安全管理能力(包括安全审计、监视、进攻识别和响应)，提高信息安全基础结构的完整性，提供对内部攻击、外部攻击和误操作的实时保护。现在，入侵检测已经成为网络安全中一个重要的研究方向，在各种不同的网络环境中发挥重要作用。

2入侵检测

2．1入侵检测

入侵检测是通过从计算机网络系统中的若干关键点收集信息并对其进行分析，从中发现违反安全策略的行为和遭到攻击的迹象，并做出自动的响应。其主要功能是对用户和系统行为的监测与分析、系统配置和漏洞的审计检查、重要系统和数据文件的完整性评估、已知的攻击行为模式的识别、异常行为模式的统计分析、操作系统的审计跟踪管理及违反安全策略的用户行为的识别。入侵检测通过迅速地检测入侵，在可能造成系统损坏或数据丢失之前，识别并驱除入侵者，使系统迅速恢复正常工作，并且阻止入侵者进一步的行动。同时，收集有关入侵的技术资料，用于改进和增强系统抵抗入侵的能力。

入侵检测可分为基于主机型、基于网络型、基于型三类。从20世纪90年代至今，写作英语论文已经开发出一些入侵检测的产品，其中比较有代表性的产品有ISS(IntemetSecuritySystem)公司的Realsecure，NAI(NetworkAssociates，Inc)公司的Cybercop和Cisco公司的NetRanger。

2．2检测技术

入侵检测为网络安全提供实时检测及攻击行为检测，并采取相应的防护手段。例如，实时检测通过记录证据来进行跟踪、恢复、断开网络连接等控制；攻击行为检测注重于发现信息系统中可能已经通过身份检查的形迹可疑者，进一步加强信息系统的安全力度。入侵检测的步骤如下：

收集系统、网络、数据及用户活动的状态和行为的信息

入侵检测一般采用分布式结构，在计算机网络系统中的若干不同关键点(不同网段和不同主机)收集信息，一方面扩大检测范围，另一方面通过多个采集点的信息的比较来判断是否存在可疑现象或发生入侵行为。

入侵检测所利用的信息一般来自以下4个方面：系统和网络日志文件、目录和文件中的不期望的改变、程序执行中的不期望行为、物理形式的入侵信息。

(2)根据收集到的信息进行分析

常用的分析方法有模式匹配、统计分析、完整性分析。模式匹配是将收集到的信息与已知的网络入侵和系统误用模式数据库进行比较，从而发现违背安全策略的行为。

统计分析方法首先给系统对象(如用户、文件、目录和设备等)创建一个统计描述，统计正常使用时的一些测量属性。测量属性的平均值将被用来与网络、系统的行为进行比较。当观察值超出正常值范围时，就有可能发生入侵行为。该方法的难点是阈值的选择，阈值太小可能产生错误的入侵报告，阈值太大可能漏报一些入侵事件。

完整性分析主要关注某个文件或对象是否被更改，包括文件和目录的内容及属性。该方法能有效地防范特洛伊木马的攻击。

3分类及存在的问题

入侵检测通过对入侵和攻击行为的检测，查出系统的入侵者或合法用户对系统资源的滥用和误用。写作工作总结根据不同的检测方法，将入侵检测分为异常入侵检测(AnomalyDetection)和误用人侵检测(MisuseDetection)。

3．1异常检测

又称为基于行为的检测。其基本前提是：假定所有的入侵行为都是异常的。首先建立系统或用户的“正常”行为特征轮廓，通过比较当前的系统或用户的行为是否偏离正常的行为特征轮廓来判断是否发生了入侵。此方法不依赖于是否表现出具体行为来进行检测，是一种间接的方法。

常用的具体方法有：统计异常检测方法、基于特征选择异常检测方法、基于贝叶斯推理异常检测方法、基于贝叶斯网络异常检测方法、基于模式预测异常检测方法、基于神经网络异常检测方法、基于机器学习异常检测方法、基于数据采掘异常检测方法等。

采用异常检测的关键问题有如下两个方面：

(1)特征量的选择

在建立系统或用户的行为特征轮廓的正常模型时，选取的特征量既要能准确地体现系统或用户的行为特征，又能使模型最优化，即以最少的特征量就能涵盖系统或用户的行为特征。

(2)参考阈值的选定

由于异常检测是以正常的特征轮廓作为比较的参考基准，因此，参考阈值的选定是非常关键的。

阈值设定得过大，那漏警率会很高；阈值设定的过小，则虚警率就会提高。合适的参考阈值的选定是决定这一检测方法准确率的至关重要的因素。

由此可见，异常检测技术难点是“正常”行为特征轮廓的确定、特征量的选取、特征轮廓的更新。由于这几个因素的制约，异常检测的虚警率很高，但对于未知的入侵行为的检测非常有效。此外，由于需要实时地建立和更新系统或用户的特征轮廓，这样所需的计算量很大，对系统的处理性能要求很高。

3．2误用检测

又称为基于知识的检测。其基本前提是：假定所有可能的入侵行为都能被识别和表示。首先，写作留学生论文对已知的攻击方法进行攻击签名(攻击签名是指用一种特定的方式来表示已知的攻击模式)表示，然后根据已经定义好的攻击签名，通过判断这些攻击签名是否出现来判断入侵行为的发生与否。这种方法是依据是否出现攻击签名来判断入侵行为，是一种直接的方法。

常用的具体方法有：基于条件概率误用入侵检测方法、基于专家系统误用入侵检测方法、基于状态迁移分析误用入侵检测方法、基于键盘监控误用入侵检测方法、基于模型误用入侵检测方法。误用检测的关键问题是攻击签名的正确表示。

误用检测是根据攻击签名来判断入侵的，根据对已知的攻击方法的了解，用特定的模式语言来表示这种攻击，使得攻击签名能够准确地表示入侵行为及其所有可能的变种，同时又不会把非入侵行为包含进来。由于多数入侵行为是利用系统的漏洞和应用程序的缺陷，因此，通过分析攻击过程的特征、条件、排列以及事件间的关系，就可具体描述入侵行为的迹象。这些迹象不仅对分析已经发生的入侵行为有帮助，而且对即将发生的入侵也有预警作用。

误用检测将收集到的信息与已知的攻击签名模式库进行比较，从中发现违背安全策略的行为。由于只需要收集相关的数据，这样系统的负担明显减少。该方法类似于病毒检测系统，其检测的准确率和效率都比较高。但是它也存在一些缺点。

3．2．1不能检测未知的入侵行为

由于其检测机理是对已知的入侵方法进行模式提取，对于未知的入侵方法就不能进行有效的检测。也就是说漏警率比较高。

3．2．2与系统的相关性很强

对于不同实现机制的操作系统，由于攻击的方法不尽相同，很难定义出统一的模式库。另外，误用检测技术也难以检测出内部人员的入侵行为。

目前，由于误用检测技术比较成熟，多数的商业产品都主要是基于误用检测模型的。不过，为了增强检测功能，不少产品也加入了异常检测的方法。

4入侵检测的发展方向

随着信息系统对一个国家的社会生产与国民经济的影响越来越大，再加上网络攻击者的攻击工具与手法日趋复杂化，信息战已逐步被各个国家重视。近年来，入侵检测有如下几个主要发展方向：

4．1分布式入侵检测与通用入侵检测架构

传统的IDS一般局限于单一的主机或网络架构，对异构系统及大规模的网络的监测明显不足，再加上不同的IDS系统之间不能很好地协同工作。为解决这一问题，需要采用分布式入侵检测技术与通用入侵检测架构。

4．2应用层入侵检测

许多入侵的语义只有在应用层才能理解，然而目前的IDS仅能检测到诸如Web之类的通用协议，而不能处理LotusNotes、数据库系统等其他的应用系统。许多基于客户／服务器结构、中间件技术及对象技术的大型应用，也需要应用层的入侵检测保护。

4．3智能的入侵检测

入侵方法越来越多样化与综合化，尽管已经有智能体、神经网络与遗传算法在入侵检测领域应用研究，但是，这只是一些尝试性的研究工作，需要对智能化的IDS加以进一步的研究，以解决其自学习与自适应能力。

4．4入侵检测的评测方法

用户需对众多的IDS系统进行评价，评价指标包括IDS检测范围、系统资源占用、IDS自身的可靠性，从而设计出通用的入侵检测测试与评估方法与平台，实现对多种IDS的检测。

4．5全面的安全防御方案

结合安全工程风险管理的思想与方法来处理网络安全问题，将网络安全作为一个整体工程来处理。从管理、网络结构、加密通道、防火墙、病毒防护、入侵检测多方位全面对所关注的网络作全面的评估，然后提出可行的全面解决方案。

综上所述，入侵检测作为一种积极主动的安全防护技术，提供了对内部攻击、外部攻击和误操作的实时保护，使网络系统在受到危害之前即拦截和响应入侵行为，为网络安全增加一道屏障。随着入侵检测的研究与开发，并在实际应用中与其它网络管理软件相结合，使网络安全可以从立体纵深、多层次防御的角度出发，形成人侵检测、网络管理、网络监控三位一体化，从而更加有效地保护网络的安全。

参考文献

l吴新民．两种典型的入侵检测方法研究．计算机工程与应用，2002；38(10)：181—183

2罗妍，李仲麟，陈宪．入侵检测系统模型的比较．计算机应用，2001；21(6)：29～31

3李涣洲．网络安全与入侵检测技术．四川师范大学学报．2001；24(3)：426—428

4张慧敏，何军，黄厚宽．入侵检测系统．计算机应用研究，2001；18(9)：38—4l

入侵检测论文范文第10篇

关键词：入侵检测，Snort，三层结构，校园网，关联规则

 

0 前言

随着互联网的飞速发展，信息网络已经进入千家万户，各国都在加速信息化建设的进程，越来越多的电子业务正在网络上开展，这加速了全球信息化的进程，促进了社会各个领域的发展，与此同时计算机网络也受到越来越多的恶意攻击[1]，例如网页内容被篡改、消费者网上购物信用卡帐号和密码被盗、大型网站被黑客攻击无法提供正常服务等等。

入侵检测作为传统计算机安全机制的补充[2]，它的开发与应用扩大了网络与系统安全的保护纵深，成为目前动态安全工具的主要研究和开发的方向。随着系统漏洞不断被发现，攻击不断发生，入侵检测系统在整个安全系统中的地位不断提高，所发挥的作用也越来越大。无论是从事网络安全研究的学者，还是从事入侵检测产品开发的企业，都越来越重视入侵检测技术。

本文在校园网的环境下，提出了一种基于Snort的三层入侵检测系统，详细介绍了该系统的体系结构，各个模块的具体功能以及如何实现，并最终将该系统应用于校园网络中进行检测网络安全论文，确保校园网络的安全。

1 Snort入侵检测系统介绍

Snort[3]是一种基于网络的轻量级入侵检测系统，建立在数据包嗅探器上。它能实时分析网络上的数据包，检测来自网络的攻击。它能方便地安装和配置在网络的任何一节点上，而且不会对网络运行产生太大的影响，同时它还具有跨系统平台操作、最小的系统要求以及易于部署和配置等特征，并且管理员能够利用它在短时间内通过修改配置进行实时的安全响应。它能够实时分析数据流量和日志IP网络数据包，能够进行协议分析，对内容进行搜索/匹配。其次它还可以检测各种不同的攻击方式，对攻击进行实时警报。总的来说，Snort具有如下的优点：

（1）高效的检测和模式匹配算法，使性能大大提升。

（2）良好的扩展性，它采用了插入式检测引擎，可以作为标准的网络入侵检测系统、主机入侵检测系统使用；与Netfilter结合使用，可以作为网关IDS(Gateway IDS，GIDS)；与NMAP等系统指纹识别工具结合使用，可以作为基于目标的TIDS(Target-basedIDS)。

（3）出色的协议分析能力，Snort能够分析的协议有TCP,UDP和ICMP。将来的版本，将提供对ARP.ICRP,GRE,OSPF,RIP,ERIP,IPX,APPLEX等协议的支持。它能够检测多种方式的攻击和探测，例如：缓冲区溢出，CGI攻击，SMB检测，端口扫描等等中国期刊全文数据库。

（4）支持多种格式的特征码规则输入方式，如数据库、XML等。

Snort同时遵循GPL（公用许可License），任何组织或者个人都可以自由使用，这是商业入侵检测软件所不具备的优点。基于以上的特点，本文采用了Snort作为系统设计的基础，自主开发设计了三层结构的入侵检测系统。

2 入侵检测三层体系结构

Snort入侵检测系统可采用单层或多层的体系结构，对于单层[4]的结构来说，它将入侵检测的核心功能和日志信息混合放在同一层面上，这样的系统设计与实现均比较简单，但它的缺点是交互性比较差，扩展性不好，操作管理比较繁琐，系统的升级维护比较复杂。为了设计一个具有灵活性、安全性和可扩展性的网络入侵检测系统，本文的系统采用了三层体系结构，主要包括网络入侵检测层、数据库服务器层和日志分析控制台层。系统的三层体系结构如图4.1所示。

图4.1 三层体系结构图

（1）网络入侵检测层主要实现对网络数据包的实时捕获，监控和对数据进行分析以找出可能存在的入侵。

（2）数据库服务器层主要是从入侵检测系统中收集报警数据，并将它存入到关系数据库中网络安全论文，以便用户进行复杂的查询，和更好地管理报警信息。

（3）日志分析控制台层是数据显示层，网络管理员可通过浏览器本地的Web服务器，访问关系数据库中的数据，对报警日志信息进行查询与管理，提供了很好的人机交互界面。

2.1 网络入侵检测层

网络入侵检测层是整个系统的核心所在，主要负责数据的采集、分析、判断是否存在入侵行为，并通过Snort的输出插件将数据送入数据库服务器中。Snort没有自己的数据采集工具，它需要外部的数据包捕获程序库winpcap[4]，因此本部分主要包括两个组件：winpcap和Snort。winpcap是由伯克利分组捕获库派生而来的分组捕获库，它在Windows操作平台上实现底层包的截取过滤，它提供了Win32应用程序提供访问网络底层的能力。通过安装winpcap和Snort两个开源软件，搭建了一个基本的入侵检测层，基本上完成了一个简单的单层入侵检测系统。

2.2 数据库服务器模块

数据库服务器层主要是从入侵检测系统中收集报警数据，并将它存入到关系数据库中。除了将报警数据写入关系数据库，Snort还可以用其他方式记录警报，如系统日志syslog[5]，统一格式输出unified等。利用关系数据库对数据量相当大的报警数据进行组织管理是最实用的方法。报警存入关系数据库后能对其进行分类，查询和按优先级组织排序等。在本系统中我们采用MySQL数据库。MySQL是一个快速的客户机/服务器结构的SQL数据库管理系统，功能强大、灵活性好、应用编程接口丰富并且系统结构精巧。MySQL数据库采用默认方式安装后，设置MySQL为服务方式运行。然后启动MySQL服务，进入命令行状态，创建Snort运行必需的存放系统日志的Snort库和Snort_archive库。同时使用Snort目录下的create_mysql脚本建立Snort运行所需的数据表，用来存放系统日志和报警信息，数据库服务器模块就可以使用了。

2.3 日志分析控制台

日志分析控制台用来分析和处理Snort收集的入侵数据，以友好、便于查询的方式显示日志数据库发送过来的报警信息，并可按照不同的方式对信息进行分类统计，将结果显示给用户。本文所设计的警报日志分析系统采用上面所述的中心管理控制平台模式，在保护目标网络中构建一个中心管理控制平台，并与网络中架设的Snort入侵检测系统及MySQL数据库通信，达到以下一些目的：

(1)能够适应较大规模的网络环境；

(2)简化规则配置模式，便于用户远程修改Snort入侵检测系统的检测规则；

(3)降低警报数据量，通过多次数据分类分析，找出危害重大的攻击行为；

(4)减少Snort的警报数据在MySQL数据库中的存储量，降低运行系统的负担；

(5)将分析后的警报数据制成报表形式输出，降低对于管理员的要求。

为了完成以上所述的目的，提高Snort入侵检测系统的使用效率，本子系统主要分为以下三个模块：规则配置模块网络安全论文，数据分析模块，报表模块。本子系统框架如图4.4所示：

图4.4 Snort警报日志系统框架

（1）规则配置模块：起到简化用户配置Snort检测规则的作用。此模块主要与Snort运行主机系统上的一个守护程序通信，修改Snort的配置文件――Snort.conf，从而完成改变检测规则的目。中心控制管理平台在本地系统上备份snort.conf文件以及所有规则文件，当需要修改某个Snort入侵检测系统的规则配置时，就可以通过平台接口首先修改本地对应的snort.conf文件以及所有规则文件，然后通过与Snort运行系统中守护程序通信，将本地系统上修改后的snort.conf文件以及所有规则文件传输到Snort运行系统中并且覆盖掉运行系统中的原配置文件和原规则文件集，然后重新启动Snort，达到重新配置Snort检测规则的目的。

（2）数据分析模块：主要利用改进的Apriori算法对数据库的日志进行分析，通过关联规则挖掘，生成一些新的检测规则用来改进snort本身的检测规则，分析警报数据，降低输出的警报数据量，集中显示危害较为严重的入侵行为。数据分析模块是整个中心管理控制中心的核心模块。本模块通过挖掘保存在Mysql数据库中Snort异常日志数据来发现这些入侵数据之间的关联关系，通过发现入侵数据的强关联规则来发现新的未知入侵行为，建立新的Snort检测规则，进一步优化Snort系统的规则链表中国期刊全文数据库。具体的步骤如下：

先对Snort异常日志进行数据预处理。数据预处理中先计算出每个网络特征属性的信息增益值，然后取出前面11个重要的网络特征，把原来要分析的多个网络特征减少到11个重要的网络特征，这样就大大减小了整个算法的复杂度，也有利提高检测速度。历史日志经过预处理之后，我们就可以采用改进的Apriori算法求出所有频繁项集。在产生频繁项集之前，我们需要设定最小支持度，最小支持度设置得越低，产生的频繁项集就会越多，反之就会越少。通常，最小支持度的设定有赖于领域专家的分析和实验数据分析两种手段。经过反复实验，最终采用模拟仿真的攻击数据进行规则推导，设定最小支持度10%、可信度80%。训练结束时头100条质量最好的规则作为最终的检测规则。把关联规则中与Snort规则头相关的项放在一起充当规则头，与Snort规则选项相关的项放在一起充当规则选项，然后把规则头与规则选项合并在一起形成Snort入侵检测规则。

（3）报表模块：将分析后的数据库中的警报数据制成报表输出，降低对于管理员的要求。报表模块是为了简化管理员观察数据，美观输出而创建，通过.net的报表编写完成。报表是高弹性的报表设计器，用于报表的数据可以从任何类型的数据源获取，包含字符列表，BDE数据库网络安全论文，ADO数据源（不使用BDE），Interbase（使用IBO），Pascal数组和记录，以及一些不常用的数据源。

该系统采用Microsoft Visual Studio 2008进行开发，语言采用C#。具体如下图：

图4.5 日志分析控制台

 

3 系统实际运行效果

集美大学诚毅学院作为一个独立学院，为了更好的满足学院师生对信息资源的需求，部署了自己的web服务器，ftp服务器，英语网络自主学习等教学平台，有了丰富的网络信息资源。学院随着网络应用的不断展开，使用者越来越多，网络安全状况也出现很多问题，比如学院的web服务器曾经出现挂马事件，ftp服务器被入侵等事件也相继出现。为了解决该问题，部署属于自己的网络入侵检测系统，用来检测入侵事件，提高校园网络的安全情况就成为必须要解决的问题。该系统目前已经在集美大学诚毅学院使用，检测效果很好，有效的防范了网络安全事件的发生，能够及时对攻击事件进行检测，从而采取相对应的防范措施。

[参考文献]

[1]RobFliCkenger.LinnxServerHaeks.北京:清华大学出版社，2004.5, 132-135

[2]蒋建春，冯登国.网络入侵监测原理与技术.北京:国防工业出版社，2001.

[3]ForrestS,HofmeyrS,SomayajiA.Computerimmunology.Communicationsof the ACM,1997.40(10).88-96.

[4]Jack Koziol著.吴溥峰，孙默，许诚等译.Snort入侵检测实用解决方案.北京:机械工业出版社.2005.

[5]韩东海，王超，李群.入侵检测系统实例剖析.清华大学出版社，2002

入侵检测论文范文第11篇

关键词： 入侵检测；Linux；Snort；协议分析

中图分类号：TP393.08 文献标识码：A 文章编号：1671－7597（2012）0210082－01

1 课题研究目的和意义

网络安全是指网络系统的硬件、软件及其系统中的数据受到保护，不因偶然的或者恶意的原因而遭受到破坏、更改、泄露，系统连续可靠正常地运行，网络服务不中断。网络安全从其本质上来讲就是网络上的信息安全。从广义来说，凡是涉及到网络上信息的保密性、完整性、可用性、真实性和可控性的相关技术和理论都是网络安全的研究领域。网络安全是一门涉及计算机科学、网络技术、通信技术、密码技术、信息安全技术、应用数学、数论、信息论等多种学科的综合性学科。

随着计算机的普及人们的生活也随之改变，尤其是计算机网络的出现，使信息时代有了更大的变化。在改变的同时，网络信息的安全已日趋重要，已被信息社会的各个领域所重视。世界上平均每20分钟就发生一次入侵国际互联网络的计算机安全事件，1/3的防火墙被突破。日趋严重的网络安全问题，对入侵攻击的检测与防范、保障计算机系统、网络系统及整个信息基础设施的安全已经成为刻不容缓的重要课题。

入侵检测系统（简称“IDS”）是一种对网络传输进行即时监视，在发现可疑传输时发出警报或者采取主动反应措施的网络安全设备。它与其他网络安全设备的不同之处便在于，IDS是一种积极主动的安全防护技术，是通过监控网络与系统的状态、行为及系统的使用情况来检测系统用户的越权使用和系统外部的黑客入侵，并采取相应的响应措施来阻止入侵活动。传统上，一般采用防火墙作为安全的第一道防线。而随着攻击者知识的日趋成熟，攻击工具和手法的日趋复杂多样，单纯的防火墙策略已无法满足对安全高度敏感的需要，网络的防卫必须采用一种纵深的、多样的手段，是传统防火墙的必要补充。入侵检测系统可以通过网络和计算机动态地收集大量关键信息资料，并能及时分析和判断整个系统环境的当前状态，一旦发现有违反安全策略的行为或系统存在被攻击的痕迹等，立即启动有关安全机制进行应对。例如，通过控制台或电子邮件向网络安全管理员报告案情、立即终止入侵行为、关闭整个系统、断开网络连接等。

2 入侵检测系统存在的问题

入侵检测系统主要通过三种形式接入被保护的网络，一是以组件形式将IDS安装到网络中的单机节点上，用于检测单机节点上的异常现象；二是以单机节点形式将IDS并联在被保护网段中，用于检测整个网段上的异常现象；三是以分布式检测网络的形式将各IDS分布式并联在单一网络的各被保护网段中，用于检测整个单一网络上的异常现象。

入侵检测系统不论以哪种形式接入网络，都要求它具有安全性、完整性和并行性。安全性要求入侵检测系统本身不存在隐患，也不受威胁；完整性要求入侵检测系统能对所保护的全部对象及其内容进行检测分析，不能遗漏；并行性要求入侵检测系统能与所保护的整个系统中的各种活动同步，不能滞后。

各种攻击行为多数是利用入侵检测系统在安全性、完整性和并行性上存在的缺陷而躲避检测的。主要有四点：通过伪造合法的检测项目欺骗入侵检测系统；通过“借道”绕过入侵检测系统；利用时间差躲避入侵检测系统；通过直接破坏入侵检测系统及其工作环境。

3 Snort规则扩展

Snort已发展成为一个多平台、实时流量分析、网络IP数据包记录等特性的强大的网络入侵检测/防御系统，即NIDS/NIPS.省略上几乎每几天就会有新的规则被更新，同时用户也可以自己书写新的规则，Snort规则文件是一个ASCII文本文件，可以用常用的文本编辑器对其进行编辑。规则文件的内容由以下几部分组成：

1）变量定义：在这里定义的变量可以在创建Snort规则时使用。

2）Snort规则：在入侵检测时起作用的规则，这些规则应包括了总体的入侵检测策略。

3）预处理器：即插件，用来扩展Snort的功能。如用portscan来检测端口扫描。

4）包含文件Include Files：可以包括其它Snort规则文件。

在开发高效、高速的Snort规则时，有两个个概念要特别注意。

1）关键词content指定的内容是大小写敏感的，除非你使用nocase选项不要忘记content规则选项指定的内容是大小写敏感的，许多程序一般使用大写表示命令。FTP就是一个很好的例子。请比较下面两条规则：

alert tcp any any -> 192.168.1.0/24 21(content:"user root";msg:"FTP root login";)

alert tcp any any -> 192.168.1.0/24 21(content:"USER root";sg:"FTP root login";)

第二条规则可以使snort捕获大多数使用root用户名的自动登录企图，而在数据包中从来就没有小写的user。

2）提高snort对含有content规则选项的规则的检测速度。

Snort检测引擎对各个规则选项的测试顺序与其在各条规则中所处的位置无关。在各个规则选项中，检测引擎最后测试的总是content规则选项。因此，在开发规则时，要尽量使用快速的选项筛选掉根本不必对其内容进行检查的包。例如，如果实现了一个TCP会话过程，那么在会话过程的大部分时间内，双方传输的数据包的TCP标志ACK、PSH都被置位。而测试包头的TCP标志比对数据包的内容进行模式匹配需要的计算量要小的多。所以，在开发相关的检测规则时，需要设置flags规则选项对PSH和ACK没有置位的数据包进行过滤。

参考文献：

入侵检测论文范文第12篇

【关键词】SVM技术 入侵行为 入侵检测方式

1 SVM技术及其特点分析

SVM即支持向量机，是一种以小样本学习、机器学习为主要研究对象的统计学习理论。在渐进理论下，对样本数量向无穷大渐进进行假设是结论特征成立的前提条件，这也是传统统计学的研究思路，但是若样本数量为有限，则这种研究方法则难以达到良好的学习效果。而SVM可有效解决这一问题，能够在有限样本下进行学习，具备完善的学习理论体系。SVM的学习思路是在空间中输入原始信息，借助核函数变换非线性，促使高维空间替代原始空间，进而获取最优线性分类。在这一过程中，高维空间求解并未增加算法难度，只需要对内积运算进行改进就能实现低维向高维的转换，且维数不会降低高维的推广能力。SVM的特点表现在以下方面：

（1）结构风险小，可在基于小样本学习的情况下，有效规避欠学习、过学习问题；

（2）SVM引入了核函数，相比较非线性分类器而言，在“维数灾难”方面具有良好的规避能力；

（3）SVM拥有最大化分类间隔思路，能够很好地区分支持向量。

2 基于SVM技术的入侵检测方式

在对基于SVM技术的入侵检测方式进行研究前，需要先对常见的入侵行为进行简要介绍。由于入侵检测主要是针对网络而言，所以对入侵行为的分析也是基于网络进行的。

2.1 入侵行为的常见类型

网络是一个复杂且庞大的系统，其中的攻击方式多种多样，可根据入侵行为的特点进行归类，比较常见的类型包括以下几种：

2.1.1 拒绝服务攻击

是指大量共享资源被一个用户所占据，而无法共享给其他用户的攻击方式，这种攻击方式能够构造出大量异常的数据包，严重时会造成主机运行瘫痪。

2.1.2 R2L攻击

是指利用网络服务程序、网络安全策略、密码设置等漏洞，通过发送数据包以非法获取访问权限的攻击方式。

2.1.3 U2R攻击

是指入侵者利用程序缓冲区的漏洞或软件安全缺陷获取计算机操作系统的用户权限或管理员权限的攻击方式。

2.1.4 探测与扫描攻击

是指通过扫描计算机网络以获取主体操作系统相关数据、IP地址以及安全防护漏洞的攻击方式。

上述入侵行为在网络数据流中的特点各异，如探测与扫描攻击会多次连接主机，并且均为短时间多频次连接；拒绝服务攻击会增加网络运行负载，充斥着大量数据包；R2L与U2R攻击会导致网络中存在异常数据流向，或扰乱磁盘的正常读写操作。

2.2 检测模块的设计

通过对入侵行为的了解，便于用SVM技术进行入侵检测，下面就具体的检测模块设计过程进行论述。基于SVM技术的入侵检测系统中主要的模块包括数据采集、数据处理、SVM训练、SVM检测，通过上述模块，可完成网络入侵检测。

2.2.1 数据采集模块

该模块通过采集、分析网络中的数据包，进而提取数据包中有用的信息，为网络入侵检测系统进行数据检测提供依据。由于网络数据包中可能存在着各类攻击信息，所以数据采集模块必须最大化地采集数据包，为满足这一要求，应为该模块配置相应的硬件与软件。在硬件方面配备网络适配器，网络适配器在混杂数据包的网络中能够有效截取网络中通讯信息；在软件方面采用网络数据嗅探器，如sniffer或Snort，借助于采集软件的功能，分析截取数据包信息，并提取可能性较大的攻击信息。

2.2.2 数据处理模块

该模块分为以下两个运行子模块：一是特征提取。通^量化处理复杂数据，并根据SVW的需求将这些数据转化为相应的输入特征矢量。由于数据采集模块中截取了多种多样的信息数据，这些信息数据的格式类型不尽相同，包括协议类型、文本格式、数值格式等，所以数据的量化处理必须借助于数值与文本数据的对应关系进行处理。在数据量化处理之后，可得到数值型的输入特征矢量，这些矢量的数值大小不一，不同数值的数据会相互干扰，严重影响到处理结果的可靠性，因此要对这些输入特征矢量进行归一化处理，确定影响因子的比重，使其满足SVW检测要求，保证计算结果的准确性。

2.2.3 SVW训练模块

该模块需设计出分类器，使分类器具备较强的检测能力，能够集中训练归一化处理后的数据。在数据训练中，要合理设置SVW参数，保证分类器的分类有效性，若归一化后的数据存在问题或SVW参数设置错乱，那么就会导致分类器出现错误判断。为了避免上述问题发生，可在训练模块中引入优化算法，进一步优化SVW参数，并在多种多样的数据中消除干扰项的影响，提取出具备关键特征属性的攻击数据，从而保证检测的准确性。

2.2.4 SVW检测模块

该模块通过训练模块提取攻击数据特征而获取分类器，检测出与预设类型存在一定关联性的特性属性。在检测模块运行中，矢量分发模块起到了重要作用，能够决定数据的分配。在归一化处理后的数据中，矢量分发模块可提取数据中的特征属性值，将这些属性值发送到各模块中。在此之后，由收集分析模块汇总处理检测结果，判断检测结果是否存在着攻击可能性，并且识别已知的攻击类型。在检测模块设计中，所有模块可同时运行，并行处理所有检测对象，这样一来不仅可以大幅度提升网络入侵检测系统的处理效率，而且还能够增强网络入侵检测系统的扩展能力。

3 结论

综上所述，由于计算机网络中存在着诸多的漏洞及弱点，从而给非法入侵提供了渠道，虽然各种安全防范措施的运用，使非法入侵行为得到了一定的控制，但攻击手段却在不断变化，这对入侵检测系统的实用性提出了挑战。SVM技术以其在侵检测方面所具有的各种优势，为入侵检测方式的优化提供了技术支撑，实践表明，通过该技术能够对多种入侵行为进行快速检测，由此确保了网络的安全性。

参考文献

[1]张得生，张飞.基于SVM和融合技术的入侵检测研究[J].科技通报，2013（05）：96-98.

[2]朱文杰，王强，翟献军.基于信息熵的SVM入侵检测技术[J].计算机工程与科学，2013（06）：124-126.

[3]曹丹星.基于数据降维和支持向量机的网络入侵检测[D].山东大学，2015.

[4]邬书跃.基于支持向量机和贝叶斯分析技术的入侵检测方法研究[D].中南大学，2012.

作者简介

赵颖（1984-），女，贵州省安顺市人。四川大学软件工程硕士，讲师。研究方向为计算机基础应用。

谌兰樱（1982-），女，贵州省安顺市人。贵州大学工程硕士，副教授。研究方向为计算机多媒体技术。

张忠琼（1985-），女，贵州省施秉县人。厦门大学软件工程硕士，副教授。研究方向为软件工程。

入侵检测论文范文第13篇

关键词 入侵检测；遗传算法；网络安全；分析

中图分类号：TP393 文献标识码：A 文章编号：1671-7597（2013）15-0043-02

随着信息技术和网络技术的飞速发展，互联网在人们生活中普及，给人们的生活带来了极大的方便。随着人们网络安全意识的不断提高，一系列的网络安全保护技术应运而生，如：防火墙技术、安全路由器等。入侵检测系统（IDS）与其它网络安全设备不同，它是一种主动式的网络安全防护技术，为网络安全提供有力的保障。近年来，遗传算法（GA）被应用于入侵检测系统之中，受到了国内外的普遍关注，各国都开始了对遗传算法在入侵检测系统中应用的研究，也产生了多种计算方法。实验表明，遗传算法可以明显的提高入侵检测系统的检查效率，有效的减少检查错误率的发生，使IDS的运行得到优化。

1 入侵检测技术

入侵检测技术相当于网络安全的第二道防火墙，是防火墙的有力补充，对网络数据的传输实时进行监视，通过对数据的检测分析发现外来的网络入侵行为，及时发出入侵警报，或者采用主动的反应措施来地域入侵的行为。入侵检测系统的发展已经有二十余年，其使用的检查方式主要有两种：一种是异常检测，即预先对系统的静态形式和授权行为特征进行抽取，然后对静态形式下的错误改动以及未经授权的可疑行为进行动态的检测；另一种是误用检测，其也可以视为特征检测，将入侵活动假设成一种特征模式，检测系统通过检测系统活动是否与这些特征模式相符合来完成检测任务。

对于异常检测，细分下来有动态异常的检测和静态异常的检查两种。动态异常检测多针对于用户或者系统的行为动作，这是有一定难度存在的。通常来讲，动态异常检测采用的方法是建立在统计学的基础之上，其通过对用户使用的习惯进行学习和记忆，从而将不符合用户使用习惯的入侵行为检测出来。但是其也存在一定的弊端，比如入侵者可以利用它的学习记忆能力，有针对性的进行“学习”训练，逐步使得入侵行为成为“正常行为”，避开入侵检测后侵入系统中。静态异常检测是指先对系统静态部分的特征表示加以保留后再加以检测，在检查的过程中将系统的静态部分和事先保留的备份特征表示进行对比，如果有偏差存在，表现系统受到了网络入侵的攻击或者系统本身出了问题。静态异常检测常用散列函数、主要信息、校验和等方法来表示特征，相当于对系统是否保持完整的检查。误用检测的检查对象主要针对采用已知的攻击技术进行网络攻击的入侵情况。对已知的网络入侵方式可以描述为一个行为序列，如果一个行为序列完成，也就表示一次入侵的行为发生。

从入侵检测技术的应用和发展方向来看，如果有效的提高检测效率，有效的降低检测的错误发生率，优化入侵检测系统的运行效率，是入侵检测技术亟待解决的关键问题。

2 遗传算法

遗传算法是一种全局性概率搜索算法，建立在达尔文的进化论的基础之上，结合了遗传学理论，可以在多个领域中应用。遗传算法将问题的参数空间用编码空间取代，评价依据采用适应度函数，按照一定的概率ρ将编码位串进行重组以生成新的编码，不断的对个体进行优化，最终获得一个最优的解。传统的遗传算法通常是指霍兰德的遗传算法，其计算步骤基本如下：首先确定群体的规模N，已知概率ρc和变异概率ρm，生成一个初始群体，此初始群体由N个初始解组成。然后对各染色体x进行适应度的计算，得到适应度函数值F（x），如果此函数值结果满足停止准则，则表示此染色体的适应值最大，其可用视为最优解经过解码后输出。如果此函数值结果不满足停止准则，需要对群组中的各个染色体x进行概率ρ（x）的重新计算，接着参考计算得到的概率值随机选出N个染色体组成一个新的种群，参考概率ρc根据交叉算子进行获得子代，子代和没有进行的染色体共同组成一个新的群组。再参考变异概率ρm选出N个染色体并将它们根据变异算子进行变异替代原染色体形成新的种群，代数加一后重新计算新种群中染色体的适应度函数值，得到最优解解码后输出。

可参考图1了解遗传算法的具体流程。

3 遗传算法在入侵检测中的应用

3.1 基于遗传算法的入侵检测模型

在我国，最先在入侵检测中应用遗传算法是建立在模型推理入侵检测的基础之上的，在Internet/Intranet运行环境下，通过将某些类型的入侵行为制作为特定的模型，通过遗传算法进行计算检测。基于遗传算法的入侵检测模型如图2所示。

3.2 遗传算法的参数计算

3.2.1 适应度函数

3.2.2 变异概率

4 遗传算法在入侵检测中的应用前景

遗传算法因为能够在搜索的过程中实现自动的获取并积累，逐步推算得到最优解，使这种搜索算法得到了广泛的关注，很多专家和学者都对此项课题的研究加以关注。遗传算法具有自身独特的优势，其使用简单，能够在很多领域应用，具有很好的通用性，其在并行分布处理中尤为适用，得到广泛的认可。遗传算法发展至今，在理论方面和应用方面都有很多需要进一步研究发展的问题存在，但是从近年来遗传算法的实践应用来看，其在组合优化中的NP完全问题中进行应用，取得良好的效果。各国专家开始对遗传算法的理论更深入的进行研究，遗传算法也不断的进行着改进和更新，很多新算法的出现也促进了遗传算法在实际中更好的应用。

目前对入侵检测研究的重点在于如果有效的提高检测效率，降低错误率，实现高效可靠的运行是入侵检测的主要发展方向。新算法的应用对提高入侵检测效率起到了重要的推动作用。在多中算法中，以遗传算法的表现最为优越，在科学研究的其它领域的都有广泛的应用，并得到认可。在入侵检测中应用遗传算法还处于初级阶段，还存在很多需要进一步改进的地方，其很多算法在网络安全方面还没有得以应用，没能实现其自身的应用价值。随着攻击和入侵的新方法的出现，网络安全的重要性不断提高，入侵检测也在不断的发展和更新之中，以应对不断出现的入侵新技术。将遗传算法在网络安全领域中应用具有良好的发展前景，其在入侵检测中的应用的主要方向有：

1）对于分布式入侵的检测。在此项检测任务中，其技术关键在于协调处理需检测的信息，并对入侵攻击的全部信息进行归纳和提取。遗传算法可以攻击整体数据中对攻击子集进行搜索，以对其入侵行为进行判断。

2）面向应用的入侵检测。对于应用层的入侵检测是入侵检测系统的重要发展方向，入侵检测系统将以主机为中心，向网络扩展，以检测应用程序为重要发展方向，形成一个全方位、立体式的检测系统。遗传算法在入侵检测中的应用也随之朝着面向应用的方向深入。

3）多个入侵检测系统配合，实现互操作性。这样可以对大规模的攻击进行集体式的应对，对一些新的入侵和攻击方式进行检测。但是多个检测系统的配合相应的也会带来更大数据量，为数据处理带来巨大的压力，这就需要有更加高效的算法来对其进行处理，确保入侵检测系统的有效联合。

参考文献

[1]刘金生.网络入侵检测的建模与仿真研究[J].计算机仿真，2011，28（12）：103-106.

入侵检测论文范文第14篇

关键词：计算机网络，入侵，检测技术，方向

 

随着网络的技术的不断发展，互联网的开放性也得到了长足的发展，这为网络信息的共享和交互使用提供了很大方便，但同时也对信息的安全性提出了严峻的挑战。近年来，随着网络的普及与应用领域的逐渐扩展，网络安全与信息安全问题日渐突出。在网络安全的实践中，建立一个完全安全的系统是不现实的。因此，保证计算机系统、网络系统以及整个信息基础设施的安全已经成为刻不容缓的重要课题。

入侵检测技术（IDS）是近年来出现的新型网络安全技术，它是通过从计算机网络系统中的若干关键点收集信息并对其进行分析，从中发现违反安全策略的行为和遭到攻击的迹象，并做出自动的响应。入侵检测通过迅速地检测入侵，在可能造成系统损坏或数据丢失之前，识别并驱除入侵者，使系统迅速恢复正常工作，并且阻止入侵者进一步的行动，它的应用扩展了系统管理员的安全管理能力，帮助计算机系统抵御攻击。因而，研究入侵检测方法和技术，根据这些方法和技术建立相应的入侵检测系统对保证网络安全是非常必要的。

一、入侵检测系统的分类

1．按照检测类型划分

（1）异常检测类型：检测与可接受行为之间的偏差，如果可以定义每项可接受的行为就应该是入侵。首先总结正常操作应该具备的特征（用户轮廓），当用户活动与正常行为有重大偏离时即被认为是入侵。这种检测模型漏报率低，误报率高。因为不需要对每种入侵行为进行定义，所以能有效检测未知的入侵。

（2）误用检测类型：检测与已知的不可接受行为之间的匹配程度，如果可以定义所有的不可接受行为，那么每种能够与之匹配的行为都会引起警告。收集非正常操作的行为特征，建立相关的特征库，当监测的用户或系统行为与库中的记录相匹配时，系统就认为这种行为是入侵。这种检测模型误报率、漏报率高。对于已知的攻击，它可以详细、准确地报告出攻击类型，但是对未知攻击却效果有限，而且特征库必须不断更新。

2．按照检测对象划分

（1）基于主机：系统分析的数据是计算机操作系统的时间日志、应用程序的时间日志、系统调用、端口调用和安全审计记录。主机入侵检测系统保护的一般是所在的主机系统。是来实现的，是运行在目标主机上的小的可执行程序，它们与命令控制台通信。

（2）基于网络：系统分析的数据是网络上的数据包。网络型入侵检测系统担负着保护整个网段的任务，基于网络的入侵检测系统由遍及网络的传感器组成，传感器是一台将以太网置于混杂模式的计算机，用于嗅探网络上的数据包。科技论文。

（3）混合型：基于网络和基于主机的入侵检测系统都有不足之处，会造成防御体系的不全面，综合了基于网络和基于主机的混合型入侵检测系统，既可以发现网络中的攻击信息，也可以从系统日志中发现异常情况。

3．按照工作方式分类

（1）离线检测：这是一种非实时工作的系统，在时间发生后分析审计时间，从中检查入侵事件。这类系统的成本低，可以分析大量事件，调查长期的情况，有利于其它方法提供及时的保护。而且，很多侵入在完成之后都将审计事件删除，使其无法审计。

（2）在线检测：对网络数据包或主机的审计事件进行实时分析，可以快速反映，保护系统的安全；但在系统规模比较大时，难以保证实时性。

二、入侵检测系统存在的主要问题

1．误报

误报是指被入侵检测系统测出但其实是正常及合法使用受保护网络和计算机的警报。假警报不但令人讨厌，并且降低入侵检测系统的效率。攻击者可以而且往往是利用包结构伪造无威胁的，“正常”假警报，以诱使收受人把入侵检测系统关掉。

没有一个入侵检测无敌于误报，应用系统总会发生错误，原因是：缺乏共享信息的标准机制和集中协调的机制，不同的网络及主机有小同的安全问题，不同的入侵检测系统有各自的功能；缺乏揣摩数据在一段时间内行为的能力；缺乏有效跟踪分析等。

2．精巧及有组织的攻击

攻击可以来自四面八方，特别是一群人组织策划且攻击者技术高超的攻击，攻击者花费很多时间准备，并发动全球性攻击，要找出这样复杂的攻击是一件难事。

3.入侵检测系统的互动性能不高

在大型网络中，网络的不同部分可能使用了多种入侵检测系统，甚至还有防火墙、漏洞扫描等其他类别的安全设备，这些入侵检测系统之间以及IDS和其他安全组件之间如何交换信息，共同协作来发现攻击、做出相应并阻止攻击是关系整个系统安全性的重要因素。

三、入侵检测系统发展的主要趋势

目前除了完善常规的、传统的技术（模式识别和完整性检测）外，入侵检测系统应重点加强与统计分析相关技术的研究。许多学者在研究新的检测办法，如采用自动的主动防御办法，将免疫学原理应用到入侵检测的方法等。其主要发展方向可以概括为以下几个方面：

1.入侵检测系统的标准化

就目前而言，入侵检测系统还缺乏相应的标准，不同的入侵检测系统之间的数据交换和信息通信几乎不可能。目前，DARPA和IETF的入侵检测工作组试图对入侵检测系统进行标准化工作，分别制定了CIDF和IDMEF标准，从体系结构、通信机制、消息格式等各方面对入侵检测系统规范化，但进展非常缓慢，尚没有被广泛接受的标准出台。因而，具有标准化接口的入侵检测系统将是下一代入侵检测系统的特征。

2.分布式入侵检测

分布式入侵检测的第一层含义是针对分布式网络攻击的检测方法；第二层含义即使用分布式的方法来实现分布式的攻击，其中的关键技术为信息的协同处理与入侵攻击的全局信息的提取。

3.应用层入侵检测

许多入侵的语义只有在应用层才能理解，而目前的入侵检测系统仅能检测Web之类的通用协议，不能处理如Lotus Notes数据库系统等其他的应用系统。许多基于客户/服务器结构、中间件技术及对象技术的大型应用，需要应用层的入侵检测保护。科技论文。

4．智能入侵检测

目前，入侵方法越来越多样化与综合化，尽管已经有智能体系、神经网络与遗传算法应用在入侵检测领域，但这些只是一些尝试性的研究工作，需要对智能化的入侵检测系统进一步研究，以解决其自学习与自适应能力。

5．建立入侵检测系统评价体系

设计通用的入侵检测测试、评估办法和平台，实现对多种入侵检测系统的检测，已成为当前入侵检测系统的另一重要研究与发展领域。评价入侵检测系统可从检测范围、系统资源占用、自身的可靠性等方面进行，评价指标有：能否保证自身的安全、运行与维护系统的开销、报警准确率、负载能力以及可支持的网络类型、支持的入侵特征数、是否支持IP碎片重组、是否支持TCP流重组等。

6．综合性检测系统

单一的技术很难构筑一道强有力的安全防线，这就需要和其他安全技术共同组成更完备的安全的保障系统，如结合防火墙、PKIX、安全电子交易SET等新的网络安全与电子商务技术，提供完整的网络安全保障体系。科技论文。

四、结语

入侵检测作为一种积极主动地安全防护技术，提供了对内部攻击、外部攻击和误操作的实时保护，在网络系统受到危害之前拦截和响应入侵。但是目前，入侵检测技术主要停留在异常检测和误用检测上，这两种方法都还不完善，存在着这样那样的缺陷。网络入侵技术不断发展，入侵行为表现出不确定性、复杂性、多样性等特点；网络应用的发展带来了新的问题，如高速网络其流量大，基于网络的检测系统如何适应这种情况？基于主机审计数据这怎样做到既减小数据量，又能有效地检测到入侵行为？入侵检测技术己经成为当前网络技术领域内的一个研究热点，在未来的发展过程中，将越来越多地与其他科学和技术进行交融汇合，如数据融合、人工智能以及网络管理等等。随着网络信息技术的发展，入侵检测技术也在不断地发展，已经出现了很多新的方向，如宽带高速网络的实时入侵检测技术、大规模分布式入侵检测技术等。

参考文献：

[1]戴英侠,连一峰,王航.系统安全与入侵检测[M].北京:清华大学出版社.2002.

[2]孙知信,徐红霞.模糊技术在入侵检测系统中的应用研究综述[J].南京邮电大学学报.2006,(2).

[3]裴庆祺.模糊入侵检测技术研究[M].西安:西安电子科技大学.2004.

[4]唐正军.入侵检测技术导轮[M].北京:机械工业出版社,2004.

入侵检测论文范文第15篇

关键词 无线传感器网络 入侵检测 系统研究

中图分类号：TP393 文献标识码：A

1研究意义

无线传感器网络作为物联网技术的前身，其用途极为广泛，目前大多应用在军事、应急场合、防盗监控等领域。无线传感器网络技术不断产生新的应用模式，必将为人们的生活带来深远的影响。

随着无线传感器网络的广泛应用，各种安全问题也相继出现。如果说无线传感器网络安全是一个木桶，它所能盛水的高度取决于最低的那块木板，那么针对无线传感器网络而设计的入侵检测系统无疑就是那块最低的木板。

研究者针对无线传感器网络入侵检测做了大量研究，但效果不尽人意，其主要原因有以下两点：

（1）由于传感器节点资源（如电源能量、通信能力和计算能力等）严重受限。

（2）由于缺少无线传感器网络入侵检测算法性能的评价标准，导致很多检测算法一味的追求高检测率而忽视了能耗、计算时间等多方面的因素。

2研究现状

针对无线传感器网络设计的入侵检测算法大多不够完善，理论研究与实际应用还有较大的差距。

2.1基于聚类的检测算法

Loo采用聚类算法检测路由是否正常。

该算法包括了分类器训练阶段和数据检测阶段。分类器训练阶段：检测系统每间隔t就采集一次网络信息，直到集齐训练分类器所需的数据集C1。这些数据样本包括了：节点的路由、流量状况、丢包率、发送能量等17个网络特征属性。使用固定宽度聚类算法对样本集合C1进行聚类，得到聚类集合 ={1，2，…，s}（1≤s≤N1）；而后对聚类集合中的每个簇v1（1≤i≤s），计算|v|与N1之比，即|v|/N1。当小于阈值 时，v异常。数据检测阶段：用待测样本 和聚类集合作比较，当| v|小于门槛值 时，就认为测试样本 异常，入侵检测系统对其做出相应的入侵响应。

2.2 基于隐马尔可夫模型的检测算法

Doumit采用隐性马尔可夫模型和自组织临界程度的方法进行入侵检测。该算法首先将无线传感器网络的单位划分为簇，每个簇中有簇头节点和普通节点两类。普通节点主要是用来收集网络数据，传输节点间的数据，簇头节点可以用来检测普通节点数据的变化情况，来判断某节点是否存在入侵行为。

Doumit假设事件每间隔时间t就会改变其状态，而状态是一个已知集合，并且知道从一种状态改变为另一种状态时的概率矩阵，当网络状态发生改变时，入侵检测系统计算前一状态改变为现在状态发生的概率p，如果出现p小于系统门槛值 ，说明该事件发生的概率极小，就可以认定该事件为异常行为。从上面描述中可以看出：阈值 的选取直接影响着误报率和检测精度的高低。

2.3 基于免疫方法的检测算法

1996年12月，日本・东京首次举行了基于免疫性系统的国际专题研讨会，并首次提出了“人工免疫系统（AIS）”的概念，随后人工免疫系统进入了兴盛发展时期。“人工免疫系统”参照了生物学原理：免疫系统能够识别未知入侵的抗原特性。Zeng等人受到免疫系统的启发，突破性地将“人工免疫系统（AIS）”应用到无线传感器网络入侵检测系统中去。

该算法对于已知的入侵行为，检测算法通过判断网络行为是否与已知的入侵模式匹配，来检测是否存在入侵行为，并启动相应的入侵响应。对于未知的入侵行为，将其直接认定为入侵行为，通过寻求多节点协作将异常节点定位并隔离，同时将这些入侵特征加入到检测知识库。

2.4 基于博弈论的检测算法

1928年冯・诺依曼证明了博弈论的基本原理，宣告了博弈论的正式诞生。博弈论属于应用数学的一个分支，目前在生物学、经济学、计算机科学、政治学、军事战略等学科中有广泛的应用。Agah等人将博弈论中的非合作模型引入网络的入侵检测问题中，利用两个非零合作动态博弈理论评估入侵者最可能攻击的位置，这样检测系统就可以将最好的防御策略部署在那些最有可能被入侵的位置，用最小的代价得到最高的防范效果。基于博弈论的检测算法可以权衡检测效率和网络资源，做出最合理的决策。

2.5 经典检测算法的比较

根据上面的介绍，对几种经典入侵检测算法进行比较（如表1）。从表中可以看出经典检测方案大多存在缺陷，还存在着许多亟待研究和解决的问题。现有的算法大多要么检测算法过于复杂，导致计算时间过长；要么没有深入地考虑能量消耗，以至于能量耗损严重，导致生存周期缩短。这些问题使得检测算法难以应用到资源受限的无线传感器网络中。因此，寻找适用于无线传感器网络入侵检测算法性能的评价标准，在节点资源受限的条件下设计出适合节点的入侵检测算法是目前的研究热点。

3结论

叙述了传感器网络的发展历程，介绍了无线传感器网络的具体应用领域，研究了无线传感器网络的体系结构及其安全需求，分析总结了各种经典的无线传感器网络入侵检测算法及其优劣。