資料探勘如何幫助入侵檢測和預防系統？

入侵可以被定義為任何威脅網路資源（例如，使用者帳戶、檔案系統、系統核心等）的完整性、機密性或可用性的服務集合。

入侵檢測系統和入侵預防系統都監控網路流量和系統性能以查詢惡意活動。前者生成報告，而後者位於網路內聯，能夠主動避免/阻止已識別的入侵。

入侵預防系統的優勢在於能夠識別惡意活動、記錄相關資料、嘗試阻止/停止活動並記錄活動。資料探勘方法可以透過以下幾種方式支援入侵檢測和預防系統，以提高其效能：

用於入侵檢測的新型資料探勘演算法 - 資料探勘演算法可用於基於特徵的檢測和基於異常的檢測。在基於特徵的檢測中，訓練資料被標記為“正常”或“入侵”。

可以匯出分類器來識別已知的入侵。這方面的研究涉及分類演算法、關聯規則挖掘和成本敏感建模的應用。

基於異常的檢測構建正常行為模型，並自動識別與正常行為的重要偏差。幾種方法包括聚類、異常值分析和分類演算法以及統計方法的應用。這些技術應高效、可擴充套件，並能夠處理大容量、高維度和異構的網路資料。

關聯、相關性和判別模式分析有助於選擇和構建判別分類器 - 關聯、相關性和判別模式挖掘可用於發現定義網路資料的系統屬性之間的關係。此類資料可以幫助瞭解如何選擇用於入侵檢測的有用屬性。從聚合記錄中改變的新屬性也可能會有所幫助，包括與特定模式匹配的流量的彙總計數。

流資料的分析 - 由於入侵和惡意攻擊的瞬態和動態特性，在資料流環境中實施入侵檢測非常重要。此外，一個事件本身可能是正常的，但如果將其視為一系列事件中的一個元素，則會被認為是惡意的。

因此，研究通常遇到的事件序列、發現順序模式和識別異常值至關重要。用於發現演變叢集和在資料流中構建動態分類模型的多種資料探勘方法對於即時入侵檢測也至關重要。

分散式資料探勘 - 入侵可能來自多個位置，並針對多個不同的目標。分散式資料探勘方法可用於探索來自多個網路位置的網路資料，以識別這些分散式攻擊。

視覺化和查詢工具 - 應提供視覺化工具來檢查檢測到的某些異常模式。此類工具可能包含用於檢視關聯、判別模式、叢集和異常值的特性。入侵檢測系統還必須具有圖形使用者介面，使安全分析人員能夠提出關於網路資料或入侵檢測結果的查詢。

Ginni

更新於：2022年2月18日

818 次瀏覽

啟動你的職業生涯

透過完成課程獲得認證

開始