基于相对熵理论的网络异常检测方法

论文摘要

传统的入侵检测方法分为基于误用检测方法和基于异常检测方法,异常检测作为目前入侵检测的主要研究方向,其核心是异常检测算法的研究和正常模型的建立。通过对异常检测方法进行大量调研,我们可知,异常检测方法还需要从两个方面不断改进：(1)检测攻击范围不够全面；(2)提高检测率和降低误报率之间的固有矛盾一直没有得到有效缓解。所以,如何挖掘新的检测算法或者改进现有算法,以扩大检测攻击范围、提高检测率和降低误报率,成为异常检测领域需要长期研究的课题。本文针对网络异常检测面临的问题,首先结合相对熵理论提出了一种基于相对熵理论的单测度网络异常检测方法,设计了基于该方法的模型,并采用DARPA99标准数据集进行了模拟实验,验证了该方法的可行性；针对不同类型的攻击可能造成不同测度的异常,使得基于相对熵理论的单测度网络异常检测方法的检测率不理想的问题,提出了一种基于相对熵理论的多测度网络异常检测方法,设计了基于该方法的架构,并采用DARPA99标准数据集进行了模拟实验。实验结果表明,基于相对熵理论的多测度网络异常检测方法对于多种攻击的平均检测率达到83.5%。针对基于相对熵理论的多测度网络异常检测方法在实用性方面存在阈值难于确定的问题,结合欧氏距离理论提出了一种基于相对熵和欧氏距离分析的网络异常检测方法,设计了基于该方法的架构,并采用DARPA99标准数据集进行了模拟实验,验证了该方法的可行性。在基于相对熵的网络异常检测算法研究的基础上,以基于相对熵和欧氏距离分析的网络异常检测方法为例,实现了一个网络异常实时检测系统,探索了算法在实际系统中的应用问题。在实际网络环境中的异常检测实验表明,多种模拟的攻击都可以被及时报警。

论文目录

• 摘要
• ABSTRACT
• 目录
• 1 前言
• 1.1 课题研究背景和意义
• 1.2 国内外研究现状与问题
• 1.3 论文主要研究内容与成果
• 1.4 论文组织结构
• 2 相关理论基础
• 2.1 异常检测基础
• 2.1.1 网络异常分析
• 2.1.2 通用异常检测模型
• 2.1.3 通用异常检测方法介绍
• 2.2 相对熵理论
• 2.3 欧氏距离理论
• 2.4 WINPCAP基础
• 2.4.1 WinPcap简介
• 2.4.2 WinPcap的内部结构
• 3 基于相对熵理论的单测度网络异常检测方法
• 3.1 基于相对熵理论的网络异常检测方法的研究思路
• 3.2 基于相对熵理论的单测度网络异常检测方法
• 3.2.1 测度的选择和量化
• 3.2.2 数据预处理
• 3.2.3 样本训练
• 3.2.4 相对熵检测
• 3.2.5 报警机制及检测结果显示
• 3.3 模拟实验与结果分析
• 3.3.1 实验数据背景
• 3.3.2 实验结果及分析
• 3.3.3 与相关算法比较
• 3.4 本章小结
• 4 基于相对熵理论的多测度网络异常检测方法
• 4.1 基于相对熵理论的多测度网络异常检测方法的提出
• 4.2 基于相对熵理论的多测度网络异常检测方法
• 4.2.1 多测度的选择和量化
• 4.2.2 多测度数据预处理
• 4.2.3 相对熵计算
• 4.2.4 多测度样本训练
• 4.2.5 多测度加权相对熵检测
• 4.3 模拟实验与结果分析
• 4.3.1 实验结果与分析
• 4.3.2 与RETSMAD方法和FAD方法比较
• 4.4 本章小结
• 5 基于相对熵和欧氏距离分析的网络异常检测方法
• 5.1 RETMMAD方法的特性分析及改进思路
• 5.2 基于相对熵和欧氏距离分析的网络异常检测方法
• 5.2.1 方法架构
• 5.2.2 测度的选择和量化
• 5.2.3 流量统计分析和相对熵处理
• 5.2.4 欧氏距离分析
• 5.2.5 网络自适应机制
• 5.3 模拟实验与结果分析
• 5.3.1 实验结果与分析
• 5.3.2 与RETMMAD方法、RETSMAD方法和FAD方法比较
• 5.4 本章小结
• 6 网络异常实时检测系统的实现
• 6.1 系统的体系结构与功能模块
• 6.2 模块设计与实现
• 6.2.1 流量采集模块的设计和实现
• 6.2.2 流量统计分析和相对熵处理模块的设计和实现
• 6.2.3 训练模块的设计和实现
• 6.2.4 异常检测模块的设计和实现
• 6.2.5 自适应机制模块的设计和实现
• 6.2.6 报警和人机交互界面模块的设计和实现
• 6.3 系统实验与结果分析
• 6.3.1 实验环境
• 6.3.2 实验方法和结果
• 6.4 本章小结
• 7 总结与展望
• 7.1 论文的主要研究工作总结
• 7.2 应用拓广和展望
• 致谢
• 参考文献
• 附录