超人快宣我基于数据流挖掘的网络入侵检测系统的分析与研究
中国电信金昌分公司 李宗宁
摘 要：随着互联网的迅猛发展,各种网络入侵层出不穷,已经成为网络信息安全的主要威胁。入侵检测是网络信息安全中一种很重要的主动防御手段,端口扫描、DDOS、ARP攻击、网络蠕虫病毒等多种网络入侵和网络故障都会造成网络流量异常，因而通过实时检测网络流量异常可实现自适应入侵检测，这对提高网络的安全性、可靠性和可用性具有重要意义。
本文是建立一种两阶段基于数据流挖掘的网络入侵检测分析，将网络数据流处理过程分为在线的网络流量异常检测和离线的网络数据流挖掘两阶段，保证网络流量异常检测的实时性和提高系统的灵活性与并行性。
网络流量异常检测阶段首先建立数据流十字转门模型表示网络流量数据，在线实时统计一定周期内特定协议流量，同时采用卡尔曼滤波预测模型预测同一周期的流量，计算实测值与预测值之间的差异sketch，建立对应网络流量变化模型，从而实现快速发 现基于某种特定协议的网络异常行为的目的，提高入侵检测的实时性。
网络数据流挖掘阶段将实时采集的网络流量数据存入SQL数据库，采用多种数据挖掘方法对数据进行研究，并将挖掘结果导入规则库，实现与网络流量异常检测的无缝连接。
本文的创新点在于按照网络协议进行不同粒度流量分类，能够发现隐藏在整体正常流量下的特定协议流量异常，提高网络流量异常检测的有效性；能够支持不同的聚类算法，按多种条件组合对数据进行聚类，实现对多种网络入侵的实时报警；通过采用不同的频繁项挖掘算法，实现异常数据源的追踪定位和发现新的异常；在对网络流量数据流进行充分挖掘的基础上，提出了新的高速网络流量检测算法，实现网络流量异常数据源的快速在线追踪定位，提高检测实时性，降低检测误检率和漏检率。
关键词：网络安全；入侵检测；数据包捕获；数据流挖掘；
