一种基于数据挖掘的自学习分级预警入侵检测系统专利检索-聚类算法数学与统计专利检索查询-专利查询网

一种基于 数据挖掘的自学习分级预警入侵检测系统

阅读：613发布：2024-01-11

专利汇可以提供一种基于数据挖掘的自学习分级预警入侵检测系统专利检索，专利查询，专利分析的服务。并且本发明提供了一种基于数据挖掘的自学习分级预警入侵检测系统。系统包括：聚类分析模块、异常检测引擎、规则库、关联分析模块、规则泛化模块、规则管理模块、日志记录和分级预警模块。本发明通过将数据挖掘技术应用到入侵检测中，充分利用现有的数据挖掘算法以及网络攻击的特点，实现了入侵检测系统的自学习和分级预警，有效地提高了检测的精确性和高效性，具有可观的经济价值和使用价值。，下面是一种基于数据挖掘的自学习分级预警入侵检测系统专利的具体信息内容。

权利要求

1.一种基于数据挖掘的自学习分级预警入侵检测系统，其特征在于：所述系统包括：
聚类分析模块、异常检测引擎、规则库、关联分析模块、规则泛化模块、规则管理模块、日志记录模块和分级预警模块；所述系统按照如下步骤进行自学习分级预警入侵检测：
步骤一：采集网络上的数据包，以此作为训练数据，所述聚类分析模块对所述训练数据进行聚类分析，形成网络正常行为模式类与网络异常行为模式类，分别添加到相应的模式类库中；
步骤二：所述异常检测引擎使用网络正常行为模式类对网络上采集的数据包进行匹配检测，丢弃那些符合网络正常行为模式类的正常数据包，将异常数据包传送给规则库（1）作匹配检测；
步骤三：所述异常数据包与规则库（1）中的规则进行匹配，若匹配成功，则表明发生入侵行为，产生三级预警信息，若异常数据包与所有的规则都不匹配，则将异常数据包传送给规则库（2）作匹配检测；
步骤四：所述异常数据包与规则库（2）中的规则进行匹配，若匹配成功，则表明发生入侵行为，产生二级预警信息，所述规则管理模块将匹配的规则添加到规则库(1)中，并从规则库(2)中删除此规则，若异常数据包与所有的规则都不匹配，则将异常数据包传送给规则库（3）作匹配检测；
步骤五：所述异常数据包与规则库（3）中的规则进行匹配，若匹配成功，则表明发生入侵行为，产生一级预警信息，所述规则管理模块将匹配的规则添加到规则库(1)中，并从规则库(3)中删除此规则，若异常数据包与所有的规则都不匹配，则将将异常信息写入所述日志记录模块；
步骤六：所述关联分析模块对日志记录中的记录进行关联分析，产生关联规则，并进一步转化为检测规则，添加到规则库（2）中；
步骤七：所述规则泛化模块对规则库（1）和规则库（2）中的规则进行泛化，形成新的检测规则，添加到规则库（3）中。
2. 如权利要求1所述的系统，其特征在于，所述聚类分析模块采用一种改进的K-means 算法对训练数据进行聚类分析。
3.如权利要求1所述的系统，其特征在于，所述异常检测引擎使用网络正常行为模式类对网络上采集的数据包进行匹配检测，丢弃那些符合网络正常行为模式类的正常数据包，只将异常数据包传送给规则库作匹配检测。
4.如权利要求1所述的系统，其特征在于，所述规则库中的规则是基于文本的，存储在三维链表中，包含规则头和规则选项。
5. 如权利要求1所述的系统，其特征在于，所述关联分析模块采用Apriori算法对日志记录进行关联分析。
6. 如权利要求1所述的系统，其特征在于，所述规则泛化模块采用聚类泛化算法对规则库（1）和规则库（2）中的规则进行泛化，将泛化得到的新规则添加到规则库（3）中。
7. 如权利要求1所述的系统，其特征在于，所述规则管理模块根据规则匹配的情况动态调整规则的优先级。
8. 如权利要求1所述的系统，其特征在于，所述系统采用B/S架构，核心模块用C/C++实现，运行于Linux系统之上。

说明书全文

一种基于数据挖掘的自学习分级预警入侵检测系统

[0001]

技术领域

[0002] 本发明涉及信息安全技术领域，尤其涉及一种基于数据挖掘的自学习分级预警入侵检测系统。

[0003]

背景技术

[0004] 信息技术的迅猛发展和Internet的快速普及，改变了人们的工作、学习和生活方式，计算机网络己经成为信息化社会发展的重要保证，在人类社会中的重要性越来越大。但由于其开放性、互连性、共享性等特点，使其遭受入侵攻击的风险性也日趋严重。近年来，个人用户和企业面临着日趋复杂和泛滥的安全问题及威胁，特别是病毒、蠕虫、木马、垃圾邮件等混合威胁，给个人及企业的信息、网络造成了重大损失。能否及时发现并成功阻止网络威胁带来的危害、保障计算机和网络系统的安全和正常运行便成为计算机安全领域研究的一个重要课题。伴随着网络攻击手段的多元化、复杂化和智能化，传统的静态防御技术如“防火墙”、“数据加密”等以难以满足网络安全的需求。入侵检测技术能够对计算机和网络资源上的恶意行为进行识别和响应，它不仅能检测来自外部的入侵行为，也能监督内部用户的未授权活动，从而有效提高安全性能。

[0005] 目前大多数网络入侵检测系统，从检测策略上大部分属于误用检测型入侵检测系统，其主要问题主要有：1）误用检测引擎需要对截获的每一个数据包进行拆解，然后与规则库中的规则进行模式匹配分析。随着网络吞吐量和传输速度的不断提高，其处理性能及检测效率受到极大挑战；
2）检测能力受到其规则库中规则数目及准确度的限制，即只能检测规则库中已知攻击，而无法检测到未知攻击和己知攻击的变种，自适应能力差。

[0006] 数据挖掘技术能够从大量数据中挖掘出有效的、新颖的、具有潜在用途并最终可理解的模式。将数据挖掘技术应用到入侵检测领域，运用可行的有效的数据挖掘算法，在进行规则匹配前过滤掉大量的正常数据包，提高检测效率；对现有规则进行挖掘，产生新的检测规则，添加到规则库中，不断调整规则的优先级，实现规则的动态更新，使系统具备自学习的能力；根据入侵行为的级别，产生不同级别的预警，帮助系统管理员做出正确的处理。

[0007]

发明内容

[0008] 本发明主要解决的技术问题是：提供一种基于数据挖掘的自学习分级预警入侵检测系统，在传统入侵检测系统模型的基础上，引入数据挖掘的思想，增加了聚类分析模块、关联分析模块、规则泛化模块和规则管理模块等，提高了检测的精确性和高效性，同时使系统具备了自学习和分级预警能力。

[0009] 本发明的所要解决的技术问题是通过如下技术方案实现的：一种基于数据挖掘的自学习分级预警入侵检测系统，其特征在于：所述系统包括：聚类分析模块、异常检测引擎、规则库、关联分析模块、规则泛化模块、规则管理模块、日志记录模块和分级预警模块；所述系统按照如下步骤进行自学习分级预警入侵检测：
步骤一：采集网络上的数据包，以此作为训练数据，所述聚类分析模块对所述训练数据进行聚类分析，形成网络正常行为模式类与网络异常行为模式类，分别添加到相应的模式类库中；
步骤二：所述异常检测引擎使用网络正常行为模式类对网络上采集的数据包进行匹配检测，丢弃那些符合网络正常行为模式类的正常数据包，将异常数据包传送给规则库（1）作匹配检测；
步骤三：所述异常数据包与规则库（1）中的规则进行匹配，若匹配成功，则表明发生入侵行为，产生三级预警信息，若异常数据包与所有的规则都不匹配，则将异常数据包传送给规则库（2）作匹配检测；
步骤四：所述异常数据包与规则库（2）中的规则进行匹配，若匹配成功，则表明发生入侵行为，产生二级预警信息，所述规则管理模块将匹配的规则添加到规则库(1)中，并从规则库(2)中删除此规则，若异常数据包与所有的规则都不匹配，则将异常数据包传送给规则库（3）作匹配检测；
步骤五：所述异常数据包与规则库（3）中的规则进行匹配，若匹配成功，则表明发生入侵行为，产生一级预警信息，所述规则管理模块将匹配的规则添加到规则库(1)中，并从规则库(3)中删除此规则，若异常数据包与所有的规则都不匹配，则将将异常信息写入所述日志记录模块；
步骤六：所述关联分析模块对日志记录中的记录进行关联分析，产生关联规则，并进一步转化为检测规则，添加到规则库（2）中；
步骤七：所述规则泛化模块对规则库（1）和规则库（2）中的规则进行泛化，形成新的检测规则，添加到规则库（3）中。

[0010] 其中，所述聚类分析模块采用一种改进的K-means算法对训练数据进行聚类分析。

[0011] 其中，所述异常检测引擎使用网络正常行为模式类对网络上采集的数据包进行匹配检测，丢弃那些符合网络正常行为模式类的正常数据包，只将异常数据包传送给规则库作匹配检测。

[0012] 其中，所述规则库中的规则是基于文本的，存储在三维链表中，包含规则头和规则选项。

[0013] 其中，所述关联分析模块采用Apriori算法对日志记录进行关联分析。

[0014] 其中，所述规则泛化模块采用聚类泛化算法对规则库（1）和规则库（2）中的规则进行泛化，将泛化得到的新规则添加到规则库（3）中。

[0015] 其中，所述规则管理模块根据规则匹配的情况动态调整规则的优先级。

[0016] 其中，所述系统采用B/S架构，核心模块用C/C++实现，运行于Linux系统之上。

[0017] 本发明的优点在于，首先利用聚类分析模块对训练数据进行聚类分析，形成网络正常行为模式类与网络异常行为模式类，使用网络正常行为模式类对网络上采集的数据包进行匹配检测，丢弃那些符合网络正常行为模式类的正常数据包，提高监测效率。其次关联分析模块和规则泛化模块分别对日志和已有规则进行挖掘形成新的检测规则，使系统具备了自学习的能力，可以检测到新的入侵行为。最后规则管理模块根据规则匹配的情况动态调整规则的优先级，同时不同级别的入侵行为将触发不同级别的预警。

[0018] 本发明的有益效果是：1．本发明可以实现入侵检测系统的自学习，检测新的入侵行为；
2．本发明可以产生不同级别的预警，方便系统管理员做出不同的处理。

[0019]附图说明

[0020] 图1为本发明入侵检测系统的结构示意图图2为本发明入侵检测系统的工作流程图
图3为本发明聚类分析模块的工作流程图
图4为本发明关联分析模块的工作流程图
图5为本发明规则泛化模块的工作流程图
图6为本发明规则管理模块的工作流程图。

具体实施方式

[0021] 图1，图2分别为本发明入侵检测系统的结构示意图和工作流程图。

[0022] 下面结合附图和具体实施方式对本发明的技术方案做进一步具体说明。

[0023] 第一，聚类分析模块采用一种改进的K-means算法对训练数据进行聚类分析。该方法预先设定一个聚类半径 R，然后选择第一个数据包作为第一个聚类的中心。当后面的数据包到达时，计算数据包与所有聚类中心的相似度，若它们的相似度小于或等于 R，则将其划分到相应的聚类中，并重新计算该聚类中心的平均值。若它们的相似度大于 R，则以该数据包作为新的聚类中心。在聚类分析过程中，每创建一个新的聚类，系统会分配给它一个编号作为标识。聚类分析可以自动将相似度高的数据对象划分到同一个类中，而不同类的数据对象之间的相似度很小。可以设定一个阈值T ，当聚类的成员数目大于T 时，表明该聚类是一个网络正常行为模式类，否则表明该聚类是一个网络异常行为模式类。如图3所示，由于网络中正常数据的数量远远大于入侵数据，且入侵数据与正常数据之间存在很大的差异，因此能够将数据集划分为不同的类别，由此分辨出正常和异常行为，形成正常和异常行为类库。

[0024] 第二，异常检测引擎使用网络正常行为模式类对网络上采集的数据包进行匹配检测，丢弃那些符合网络正常行为模式类的正常数据包，只将异常数据包传送给规则库作匹配检测，这大大提高了系统的检测效率。

[0025] 第三，规则库中的规则是基于文本的，存储在三维链表中，包含规则头和规则选项。如下是一条检测ping包的规则：alert icmp any any => any any {info: "icmp Packet detected"}。当数据包到时，按照先匹配规则头再匹配规则选项的顺序进行匹配。规则库（1）、规则库（2）、规则库（3）的优先级由高到低，系统根据与异常数据包匹配的规则的优先级高低产生不同级别的预警。

[0026] 第四，关联分析模块采用Apriori算法对日志记录进行关联分析。Apriori算法的基本步骤是：首先找出所有的频繁项集，这些项集出现的频繁性至少和预定义的最小支持度一样。然后由频繁项集生成强关联规则，这些规则必须满足最小支持度和最小可信度两个条件。使用第一步找到的频繁项集产生期望的规则，产生只包含集合中项的所有规则，这些规则采用中规则的定义即每一条规则的右部只有一项。在生成的这些规则中,只有那些大于用户预先定义的最小可信度的规则才被保留下来。算法使用递推的方法生成所有频繁项集。如图4所示，对日志中的数据记录进行关联分析，挖掘不同记录之间的关系，生成关联规则，保证规则的支持度和信任度大于指定的最小支持度和最小可信度，并将规则转化成符合规则库语法要求的检测规则，添加到规则库（2）中。

[0027] 第五，如图5所示，规则泛化模块采用聚类泛化算法对规则库（1）和规则库（2）中的规则进行泛化。在聚类算法中：如果两个对象距离很近，则属于同一分类。将这个思想应用到规则泛化中，在空间中，如果两个规则点距离很近，将它们连接成小的线段，则线段上的点加入到泛化规则集中。同理，如果多个规则点离得很近，则将它们包围的区域中的点加入泛化规则集中。通过聚类泛化，两个距离近的规则点连接成规则线段，密集的离散规则点泛化成一个连续规则集合，扩大了检测范围。将泛化得到的新规则添加到规则库（3）中。

[0028] 第六，规则管理模块根据规则匹配的情况动态调整规则的优先级。如图6所示，若异常数据包与规则库（2）或规则库（3）中的某条规则匹配成功，则将此规则添加到规则库（1）中，并将其从规则库（2）或规则库（3）中删除。

[0029] 第七，系统采用B/S架构，核心模块用C/C++实现，运行于Linux系统之上。当入侵行为发生时，预警模块发出预警并将入侵行为的级别和匹配的规则记录下来。预警模块还会记录最近24小时预警数、最近72小时预警数、最后来源端口、最后目的端口、出现频率最高源端口、出现频率最高目的端口，并且统计预警中TCP、UDP、ICMP和端口扫描通信的数量。以上信息系统管理员可以通过预警模块查看。

[0030] 本发明通过将数据挖掘技术应用到入侵检测中，充分利用现有的数据挖掘算法以及网络攻击的特点，提出了一种基于数据挖掘的自学习分级预警入侵检测系统，实现了入侵检测系统的自学习和分级预警，有效地提高了检测的精确性和高效性，具有可观的经济价值和使用价值。

标题	发布/更新时间	阅读量
基于共同注意力范式的孤独症辅助诊断装置	2020-05-08	386
一种快速建模的方法	2020-05-08	401
一种星地融合网络中的全景视频多播方法及装置	2020-05-08	507
综合电力用户缴费指标和行业公开指标的电力用户信用评价方法与系统	2020-05-08	563
基于电压时序数据的台区户变关系识别方法及系统	2020-05-08	581
基于卷积神经网络和概念格的图像语义完备标注方法	2020-05-11	741
电网三相不平衡多维时序分析方法	2020-05-08	627
车辆物流路径生成的方法、装置、计算机设备及存储介质	2020-05-08	202
脑功能图谱的绘制方法和系统	2020-05-08	992
一种铁路数据状态评估方法及系统	2020-05-11	435

一种基于数据挖掘的自学习分级预警入侵检测系统

一种基于数据挖掘的自学习分级预警入侵检测系统

技术领域

背景技术

发明内容

具体实施方式

该功能需要专业版企业版VIP权限，您可以：