基于数据挖掘和本体的实时入侵检测系统

        通过分析现有入侵检测技术，提出了一种建立入侵检测系统的新方法。该方法结合误用检测技术和异常检测技术，利用数据挖掘能高效地从大量的审计数据中挖掘出代表行为特征的频繁模式和本体可以对对象的本质进行描述的特点，并加入相似度以判断是否发生入侵，同时决定是否更新规则本体库。经分析该系统可以有效地提高检测的效率。
关键字: 数据挖掘；本体；入侵检测；频繁模式增长
         随着科学技术的发展，网络的应用越来越广泛，网络环境变得越来越复杂，使得人们对网络安全问题也越来越关注。入侵检测系统（Intrusion Detection System，IDS）因可以弥补防火墙的不足，为网络系统提供实时的入侵检测以及必要的防护手段，如记录证据、跟踪入侵、恢复或断开网络连接等[1]，受到了人们的重视成为研究的热点。但是目前的入侵检测系统在可适应性，可扩展性、可靠性、容错性、可用性、可检验性等方面不能尽如人意。数据挖掘(Data Mining)是从大量的、不完全的、模糊的、有噪声的以及随机的数据中提取隐含在其中的潜在有用的信息和知识。与单纯的统计方法相比, 数据挖掘的优势在于它能从数据中发现未知的知识和规律[3]。本体是描述概念及概念之间关系的概念模型,通过概念之间的关系来描述概念的语义。
基于此本文提出了一种基于数据挖掘和本体的入侵检测系统。该系统采用数据挖掘技术
从主机和网络的历史数据中发现知识，用本体建立规则模式库，并在其中加入相似度。在实时检测时系统从实时信息中挖掘出当前的行为模式，产生规则，通过规则匹配器与规则本体库中的规则进行匹配，由相似度判断出是正常还是异常，并将结果体供给结果显示接口，如果发现新的正常规则或异常规则就通过更新器和本体生成器存将其到规则本体库中。