基于關(guān)系數(shù)據(jù)流模型的網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)-資料下載頁(yè)
2025-06-22 15:05本頁(yè)面
【正文】 信息增益（information gain）的概念。數(shù)據(jù)的某個(gè)屬性的信息增益是將一個(gè)數(shù)據(jù)集劃分后熵（混亂，無(wú)序）的減少量。劃分后數(shù)據(jù)集的熵的度量是將每一個(gè)劃分集大小相對(duì)于原始數(shù)據(jù)集大小的比例作為權(quán)重累加。一個(gè)規(guī)則集合S的熵E通過(guò)如下公式計(jì)算 Es=∑1/n log2(1/n)=log2(n)則一個(gè)規(guī)則集S在屬性A上的信息增益通過(guò)如下公式計(jì)算 G(s,f)=Es∑|Sv|/|S|*Esv= log2(|S|)∑|Sv|/|S|* log2 (|Sv|)Sv代表對(duì)于規(guī)則集S,在屬性A上劃分之后生成的各個(gè)規(guī)則集合。|Sv|，|S|代表集合的數(shù)目。我們對(duì)原始規(guī)則集以及劃分后生成的多個(gè)規(guī)則集，計(jì)算各個(gè)屬性上的信息增益,選擇大的作為先匹配的屬性。這里通過(guò)信息增益來(lái)反映過(guò)濾度，實(shí)際上是認(rèn)為，劃分后分布越均勻的屬性有更大的區(qū)分度。c. 經(jīng)驗(yàn)判斷在實(shí)際的網(wǎng)絡(luò)安全監(jiān)控系統(tǒng)中，利用經(jīng)驗(yàn)來(lái)判定區(qū)分度與優(yōu)先順序是可行的。在包過(guò)濾步驟中，源、目的端口有較強(qiáng)的區(qū)分度，對(duì)這個(gè)屬性的過(guò)濾能較均勻地將規(guī)則集分類，應(yīng)該放在前面匹配。而ttl值這個(gè)屬性的區(qū)分度相對(duì)較弱，應(yīng)該放在靠后的位置。我們可以根據(jù)經(jīng)驗(yàn)將各個(gè)屬性區(qū)分度排序，從而確定一個(gè)較優(yōu)的匹配順序。n 規(guī)則集分類將規(guī)則集預(yù)分類，相同類型的規(guī)則作為一個(gè)初始規(guī)則集。如TCP規(guī)則集，UDP User Datagram Protocol（用戶數(shù)據(jù)報(bào)協(xié)議）規(guī)則集，ICMP Internet Control Message Protocol（Internet控制信息協(xié)議）規(guī)則集等。這樣有兩個(gè)好處。一是每一個(gè)自動(dòng)機(jī)匹配樹(shù)的規(guī)則集不會(huì)太大，狀態(tài)數(shù)目可控，并且多棵樹(shù)可以并行運(yùn)行。二是相同類型的規(guī)則有類似的屬性字段，有些字段是某種規(guī)則集特有的，如ICMP的itype字段，在TCP規(guī)則集中就不需要考慮。所以針對(duì)每一種類型的規(guī)則集生成相應(yīng)的自動(dòng)機(jī)，能夠減少自動(dòng)機(jī)匹配樹(shù)的層數(shù)，從而提高匹配效率。4. 性能測(cè)試為檢驗(yàn)IceNetwork處理引擎的功能與性能，我們?cè)O(shè)計(jì)如下測(cè)試方案測(cè)試環(huán)境：千兆交換機(jī)器網(wǎng)絡(luò)發(fā)包機(jī)：AMD Opterontm1421。60Ghz 64bit入侵檢測(cè)服務(wù)器Xeon（tm) 2*CPU 圖6 測(cè)試網(wǎng)絡(luò)結(jié)構(gòu)圖測(cè)試說(shuō)明：入侵檢測(cè)系統(tǒng)包括Snort 和IceNetwork。發(fā)包機(jī)器，可以按照指定的速度發(fā)送全部是攻擊數(shù)據(jù)的網(wǎng)絡(luò)數(shù)據(jù)包。發(fā)送包間隔中插入特定Sleep(0)進(jìn)行時(shí)間延時(shí)。攻擊包的構(gòu)造是通過(guò)依照Snort規(guī)則構(gòu)造的。 測(cè)試丟包率結(jié)果如下：在純攻擊包流量壓力較小時(shí)，兩者均有較好的處理效率。當(dāng)流量壓力加大時(shí)，Snort丟包率明顯增大，而IceNetwork顯示出較好的檢測(cè)引擎執(zhí)行效率與抗壓能力。實(shí)驗(yàn)表明，這種基于數(shù)據(jù)流管理平臺(tái)進(jìn)行網(wǎng)絡(luò)安全事件監(jiān)控的設(shè)計(jì)思路是正確可行的。系統(tǒng)能夠完成設(shè)計(jì)功能，并獲得了較好的性能。圖7 丟包率對(duì)比圖5. 結(jié)論和展望本文將數(shù)據(jù)流模型引入系統(tǒng)設(shè)計(jì)，提出了一種新型的網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)的實(shí)現(xiàn)方式。其中網(wǎng)絡(luò)數(shù)據(jù)及檢測(cè)規(guī)則的關(guān)系化表示，使入侵檢測(cè)系統(tǒng)結(jié)構(gòu)更加清晰，擴(kuò)展性更好。多持續(xù)查詢優(yōu)化技術(shù)提高了檢測(cè)引擎的性能。接下來(lái)，我們將進(jìn)一步研究面向通用的數(shù)據(jù)流管理系統(tǒng)的單流多持續(xù)查詢優(yōu)化算法，以及多流連接算法。參考文獻(xiàn)[1.] B. Babcock, S. Babu, . Models and Issues in Data Stream Systems. SIGMOD POS, 2002:116[2.] A. Arasu, S. Babu, J. Widom. An Abstract Semantics and Concrete Language for Continuous Queries over Streams and Relations. :8090/pub/200257[3.] Snort .[4.] Marc Pattern Matching for Intrusion :// [5.] Christophe Diot, Brian Neil Levine, Bryan Lyles, Hassan Kassem, Doug Balensiefen, Deployment Issues for the IP Multicast Service and Architecture. IEEE Network magazine special issue on Multicasting, 14(1):7888, January/February 2000[6.] Gonzalo Navarro and Mathieu Raffinot , Flexible Pattern Matching in Strings：Practical online search algorithms for texts and biological sequences, Cambridge University Press, 2002,ISBN 0521813077[7.] B. Bollig and I. Wegener. Improving the variable ordering of OBDDs is NPplete. IEEE Trans. on Comp., 45(9):993 1002, 1996.作者簡(jiǎn)介：譚建龍：中國(guó)科學(xué)院計(jì)算技術(shù)研究所軟件研究室助理研究員，博士。2003年在中國(guó)科學(xué)院計(jì)算技術(shù)研究所獲博士學(xué)位。主要研究領(lǐng)域包括數(shù)據(jù)流管理系統(tǒng)、網(wǎng)絡(luò)信息安全、算法設(shè)計(jì)等。沈星星：中國(guó)科學(xué)院計(jì)算技術(shù)研究所 碩士研究生王映：中國(guó)科學(xué)院計(jì)算技術(shù)研究所 博士研究生
化學(xué)相關(guān)推薦
鄂ICP備17016276號(hào)-1