粗糙集理论在入侵检测系统中的应用研究软件工程专业论文

I

I

摘要

摘要

随着计算机网络技术的发展，新的攻击手段可能使网络流量呈现出全新的特 征。传统的 IDS 存在着大量的问题：对未知的网络攻击检测能力差、误报率高、 占用资源多；对攻击数据的关联和分析功能不足、导致过多的人工参与；对于现 在广泛使用的脚本攻击防御能力差等等。目前，数据挖掘方法正被广泛地应用于 入侵检测领域的异常检测和滥用检测研究中。滥用检测和异常检测(特别是滥用 检测)都需要建立大量的规则或特征，而人工建立这些规则或特征库的现状已经 远远不能适应现实对入侵检测的要求。并且，目前大多数产品或模型对检测已知 的攻击很有效，而对未知攻击的检测却存在精度低或者误报率高的问题。因此， 必须采取一定的手段进行规则库或特征库的自动建立，才能使入侵检测系统具有 可扩充性和移值性。基于粗糙集理论的数据挖掘方法提供了一整套比较成熟的在 样本数据集中寻找和发现数据属性之间关系的方法。粗糙集理论具有在进行数据 约简、数据特征提取时操作简便，并且在生成规则时不依赖任何数据之外的领域 知识，生成的 IF?THEN?规则易于理解等优点，使它比较适合于大规模的数据处 理。

本文主要研究粗糙集分类算法在网络入侵检测中的应用。在对粗糙集理论和 现行入侵检测方法研究的基础上，简要说明了目前粗糙集中几个属性约简算法， 提出了一种新的基于信息熵和可辨识矩阵的启发式加权约简算法来缩短计算时 间，以便得到一个近似的最优解。最后，用仿真实验来测试基于粗糙集理论的网 络入侵检测系统的性能，实验数据为 KDD Cup99 的部分数据。仿真实验表明，该 方法对 DoS 和 Probe 攻击具有很高的检测率、较低的误检率，并且对 U2R 和 R2L 攻击也有较好的检测率。

关健词：入侵检测，数据挖掘，粗糙集理论，属性约简，可辨识矩阵

II

II

ABSTRACT

ABSTRACT

With the development of computer networks technologies, new attacking scenarios may result in new features of the network flow. Traditional intrusion detection systems (IDSs) have a number of drawbacks, including: 1, unsatisfactory performance, such as low detection ability of unknown network attacking, high error rate and high resource consumption; 2, too much human interaction due to insufficient analysis of attacking data; and 3, low defending ability against script attacks. Currently, data mining methods are widely applied in abnormal behavior detection and abuse detection in intrusion detection. Abnormal behavior detection and abuse detection, especially the later, requires the construction of a large amount of decision rules and/or attributes, while expert constructed rules and attributes cannot meet the requirement of applications. Moreover, most existing products and models are effective against known attach, while ineffective against unknown attacks. Therefore, certain automatic rule library and attribute library construction are the basis of IDSs with expandability and portability. Rough sets based data mining offers a set of matured methods that make it possible to find attributes rela