經(jīng)典講義數(shù)據(jù)挖掘與入侵檢測(cè)(ppt35)-經(jīng)營(yíng)管理-資料下載頁(yè)
【導(dǎo)讀】挖掘，采掘，采礦......這樣的說(shuō)法可能引起誤解…提取有趣的、隱藏的知識(shí)、規(guī)律或高層信。提供對(duì)數(shù)據(jù)庫(kù)的不同觀察和瀏覽的視角；海量數(shù)據(jù)的處理能力。在數(shù)據(jù)記錄的數(shù)據(jù)項(xiàng)之間發(fā)掘關(guān)聯(lián)關(guān)系，面包和牛奶的故事…關(guān)聯(lián)規(guī)則的形式：。分類(lèi)模型用于預(yù)測(cè)新的數(shù)據(jù)記錄所屬類(lèi)型。必須事先給出分類(lèi)的標(biāo)號(hào)。將物理或抽象對(duì)象的集合分組成為由類(lèi)似。的對(duì)象組成的多個(gè)類(lèi)的過(guò)程。–同一類(lèi)別的對(duì)象間距離盡可能?。豢紤]對(duì)象間的相似性問(wèn)題。–數(shù)據(jù)來(lái)源和格式多樣化；–分析任務(wù)繁重；使用數(shù)據(jù)挖掘中的數(shù)據(jù)分類(lèi)、關(guān)聯(lián)分析和。生成入侵檢測(cè)規(guī)則及建立異常檢測(cè)模型。應(yīng)用范圍廣，擴(kuò)展性好。檢測(cè)復(fù)雜攻擊的準(zhǔn)確率低。檢測(cè)的針對(duì)性強(qiáng)，準(zhǔn)確率高。與操作系統(tǒng)結(jié)合緊密。只能檢測(cè)針對(duì)本機(jī)的攻擊行為。攻擊事件相對(duì)于正常的網(wǎng)絡(luò)或系統(tǒng)訪問(wèn)是。安全審計(jì)數(shù)據(jù)的特性在正常情況下是非常。連接記錄時(shí)間窗統(tǒng)計(jì)；?用戶(hù)行為序列模式
【正文】 N orm a l P robe D oS U 2R 0 0 0 0 0 R2L 0 0 0 O ve ra l l E rror 2020/9/18 29 貝葉斯分類(lèi)規(guī)則 設(shè) X ∈ S ，則基于最小錯(cuò)誤率的貝葉斯決策規(guī)則 , X ∈ C j 的條件是如果： mjixcpxcpijji???? ,1 )),|((m a x)|(, 則 X 屬于類(lèi)別 c j 其含義為：在觀測(cè)得到的 n維特征向量 X發(fā)生的條件下，類(lèi)別 cj的所有條件概率中最大者為應(yīng)歸屬的類(lèi)，這樣做可以實(shí)現(xiàn)最小錯(cuò)誤率的識(shí)別決策。 2020/9/18 30 貝葉斯分類(lèi)結(jié)果 分別使用基本屬性集 、 內(nèi)容屬性集 、 主機(jī)屬性集進(jìn) 行 測(cè) 試 時(shí) ， 由 于 算 法 選 擇 的 屬 性 均 是{ protocol_type , service , flag }， 所以分類(lèi)的結(jié)果也一致 Predicted(overall error=%) valu e 0 1 2 3 4 C orrec t 0 6020 3 208 180 0 1 1 856 2448 620 0 242 2 9334 60 22187 7 0 182 3 79 0 0 0 0 0 4 1456 8 135 8 0 29 2020/9/18 31 模式匹配方法 ?完全匹配 ?不完全匹配 ： rcb ， Hamming 匹配 ?基于相似度的匹配規(guī)則 ： 基于距離計(jì)算相似度 ， Terran Lane基于順序匹配的相似度計(jì)算方法 2020/9/18 32 模式匹配方法（續(xù)） ?rcb（ rcontinuous bits） 是一種不完全匹配方法，如果長(zhǎng)度為 l的兩個(gè)字符串 x和 y在連續(xù) r個(gè)位置上一致，則說(shuō) x和 y匹配。 ?Hamming 匹配是一種不完全匹配， 如果兩個(gè)字符串 x和 y至少在 r個(gè)位置上值相等 ， 則說(shuō)這兩個(gè)字符串在 Hamming 匹配規(guī)則 下匹配 。 ?Terran Lane的序列匹配規(guī)則不僅考慮到字符的匹配，還考慮了相鄰字符匹配的字符串具有更大的相似度。 2020/9/18 33 小結(jié) ?在網(wǎng)絡(luò)層、傳輸層、應(yīng)用層上對(duì)網(wǎng)絡(luò)數(shù)據(jù)進(jìn)行分析，恢復(fù)連接記錄及 Ftp、 Http、Tel等應(yīng)用層會(huì)話； ?根據(jù)訓(xùn)練數(shù)據(jù)得出未知入侵的檢測(cè)規(guī)則并嵌入入侵檢測(cè)模塊； ?用戶(hù)行為習(xí)慣分析，檢測(cè)異常模式； ?基于系統(tǒng)調(diào)用的特權(quán)進(jìn)程異常檢測(cè)； 2020/9/18 34 小結(jié) ?審計(jì)數(shù)據(jù)類(lèi)型： – tcpdump格式的網(wǎng)絡(luò)數(shù)據(jù)； –主機(jī)特權(quán)進(jìn)程的系統(tǒng)調(diào)用序列； ?分析結(jié)果： – IFThen形式的檢測(cè)規(guī)則； –可視化的統(tǒng)計(jì)結(jié)果； 2020/9/18 35 小結(jié) ?今后方向 –智能化的進(jìn)一步提高 –簡(jiǎn)化訓(xùn)練過(guò)程 –實(shí)時(shí)挖掘 –與 IDS的無(wú)縫連接 –其它類(lèi)型審計(jì)數(shù)據(jù)的挖掘分析
鄂ICP備17016276號(hào)-1