王 磊

（苏州大学信息化建设与管理中心，江苏苏州215006）（*通信作者电子邮箱wanglei01005@163.com）

0 引言

网络安全问题一直是全社会关注的焦点，随着网络环境的日益复杂，包括防火墙、安全路由及数据加密等静态网络安全保护方法已很难满足人们对于网络安全性能的需求。

入侵检测系统（Intrusion Detection System，IDS）作为一种网络安全主动防御技术，能够对防火墙等传统安全保护体系起到辅助作用［1］，通过监控流经某个节点的流量，实现对入侵行为的检测，并生成报警信号发送至系统管理员，典型的IDS通常包括事件采集、事件分析和事件响应三个核心环节，其检测方法主要可分为两种类型：误用IDS 和异常IDS。现有IDS均或多或少存在有效性低、适应性不强、误报率高以及可扩展性不高等问题。其中：误用IDS 根据已知攻击和系统弱点的参数识别入侵，然而它无法识别新的或不熟悉的攻击类型；异常IDS 则基于正常行为的参数，并使用它们来识别任何与正常行为相差甚远的行为［2］。误用入侵检测的机制是训练现有的入侵模式，并将考虑用于检查的数据，与先前的模式相匹配，以识别入侵。IDS 一般挂接在所有所关注流量都必须流经的链路上，而所关注流量则是指来自高危网络区域的访问数据和需要进行统计、监视的网络报文数据。即无论是误用IDS还是异常IDS，都离不开对数据的挖掘与处理。

利用数据挖掘技术开发的IDS 通常具有检测网络入侵的优异性能和泛化能力，从而使其具有高效的入侵检测性能。……