徐 伟 冷 静

(湖北警官学院信息技术系 湖北 武汉 430034)

(电子取证及可信应用湖北省协同创新中心 湖北 武汉 430034)

0 引 言

网络攻击给用户带来的损失巨大，其范围广、危害大，有些损失和破坏甚至不可恢复。针对网络攻击，很多大型用户(企业级)使用入侵检测系统[1](Intrusion Detection System,IDS)等多种安全系统来抵御攻击。由于IDS可以识别异常模式和流量，并对系统中所有未授权活动进行监测、检测和响应[2]，因此它一直是网络安全领域的重要研究方向。

IDS一般包括误用检测和异常检测[3]。在误用检测方法中，将预构建的入侵模式作为规律保存在数据集中，每个模式代表一种特定的攻击类型。这种情况下无法检测到网络中的新型攻击[4]，因为其模式不在数据库中。异常检测方法是基于网络正常行为或特征来制定决策，将明显违背该模型的业务事件或数据流视为入侵[5]。这种IDS分类方法能够检测到新型未知攻击，但由于难以区分普通行为和异常行为的界限，会造成较高的虚警率。

目前已有一些IDS方面的研究成果。文献[6]提出的模型通过数据分析将网络数据分类为正常行为和异常行为，是一种多级混合入侵检测模型，使用支持向量机和极值学习机来提升对已知攻击和未知攻击的检测效率。此外，文献[6]还提出了改进的K均值算法，用于构建能够代表整个原始训练数据集的多个较小的新训练数据集，显著降低了分类器的训练时间，提升了入侵检测系统的性能。文献[7]提出了DDoS攻击的应用层实时检测方法，根据绝对时间间隔准则，推导出了一组新的训练和测试工具，该方法使用了布谷鸟等算法，其中布谷鸟二元聚类策略最大限度降低了算法的开销成本，并提升了预测准确度。……