郭红艳，谷保平

（河南广播电视大学，郑州 450000）

一、引言

入侵检测方法一般分为两大类：误用检测和异常检测[1]，误用检测技术主要是检测与已知的不可接受行为之间的匹配程度。收集非正常操作的行为特征，建立特征库，检测时依据具体特征库进行判断是否有入侵行为，这种检测模型误报率低、漏报率高；异常检测技术是先定义一组系统 “正常”情况的数值，如CPU利用率、内存利用率等，然后将系统运行时的数据与所定义的“正常”情况比较，得出是否有被攻击的迹象，若两者偏差足够大，则说明发生了入侵。这种方法的优点是能检测未知的攻击类型，适应性强。

入侵检测的关键技术在于分类。目前，应用于入侵检测分类方法有很多，如统计分类方法、支持向量机、神经网络和遗传算法等。随着新技术的大规模应用，研究者发现一些新颖的分类方法，例如关联规则分类法就是其中一种，目前普遍接受的观点是关联规则分类准确度高。

本文中，我们把原子分类关联规则应用于入侵检测中，利用原子型分类关联规则构建分类器的思想，它是模仿认识事物一般规律，运用“先易后难策略”分类。它具有执行速度快、准确度较高、挖掘的分类模型易于理解的特点，比较适合于大规模数据挖掘。

二、原子分类关联规则

基于关联规则的入侵检测分类学习包括以下三个主要步骤：

（1）入侵信息的收集。入侵检测首先要进行信息源的收集，包括审计迹、系统日志、网络数据包、数据等。……