汪莉

（长江大学工程技术学院 湖北 荆州 434020）

0 引言

入侵检测的目的是为了发现系统或用户行为的异常，其实质归结为对从各种渠道获得的反映网络状况和网络行为的安全审计数据的分析处理。然而，操作系统的日益复杂化和网络数据流量的急剧膨胀，导致了安全审计数据同样以惊人的速度递增。骤增的数据背后隐藏着许多与安全有关的重要信息，如何从包含大量冗余信息的数据中提取出具有代表性的入侵模式是入侵检测的关键，而靠传统数据检索机制和统计分析方法不能满足安全信息有效提取的需要。数据挖掘能够从海量数据中提取出隐含的、事先未知的、潜在有用的信息和知识，很好地解决了这些问题。

1 目前存在的问题

尽管将数据挖掘引入入侵检测研究，以此建立的检测模型在适应性和可扩展性方面具有优势并得到实验验证，但进行检测时仍存在一定困难：

1.1 检测有效性方面

此类模型通过训练集中的行为特征学习，对已知入侵和攻击行为具备较高的检测率和较低的误报率；而对于未在训练集出现的和全新的入侵行为，则出现较低的检测率和较高的误检率，这种现象对于大多数检测模型有普遍性。

1.2 检测效率方面

由于现有入侵检测中的数据挖掘算法需要对大量已标识的历史数据进行训练学习，然后才能进行测试数据集的检测，造成了对训练集数据的强烈依赖性，训练集数据的分布特征决定了检测算法的性能；……