基于粗糙集理论的入侵检测方法研究

【摘要】为了克服入侵检测系统存在着在先验知识较少情况的推广能力差的问题,提出了基于粗糙集理论的入侵检测方法。利用粗糙理论,建立了系统调用短序列的检测模型并应用于sendmail调用序列检测。实验结果表明：它不需要全部的正常和异常的信息,在给出较少的正常和异常调用序

第35卷 第1期 电 子 科 技 大 学 学 报 Vol.35 No.1 2006年2月 Journal of UEST of China Feb. 2006

基于粗糙集理论的入侵检测方法研究

彭 宏

(西华大学数学与计算机学院 成都 610039)

【摘要】为了克服入侵检测系统存在着在先验知识较少情况的推广能力差的问题，提出了基于粗糙集理论的入侵检测方法。利用粗糙理论，建立了系统调用短序列的检测模型并应用于sendmail调用序列检测。实验结果表明：它不需要全部的正常和异常的信息，在给出较少的正常和异常调用序列数据的情况下，能得到较为理想的检测效果。

关 键 词 粗糙集; 入侵检测; 网络安全; 系统调用序列

中图分类号 TP311 文献标识码 A

Research of Intrusion Detection Method Based on Rough Set

PENG Hong

(School of Mathematics & Computer Science, Xihua University Chengdu 610039)

Abstract An intrusion detection method based on rough set is proposed in order to overcome poor generalizing ability of current intrusion detection system in the case of less prior knowledge. According to rough set a detection model is built based on short call sequence and used to detec call sequences of sendmail program.The experimental proves that better detecting result can be obtained while less normal and abnormal information is needed.

Key words rough set; intrusion detection; network security ; system call sequence

随着网络技术和规模的不断发展，网络入侵的风险性和机会也随之增大，网络安全成为了人们无法回避的问题。因此为了处理越来越多的敏感信息，入侵检测也成为了一项非常重要的技术，得到广泛的重视。

入侵检测可以看成是一个分类问题，也就是对给定的审计数据进行分类：(1) 什么样的数据是正常的；

(2) 什么样的数据是异常的。文献[1]把入侵检测看作是区分正常和非正常的过程，提出了基于免疫模型的入侵检测技术。文献[2]利用神经网络来提取特征和分类。文献[3]从数据挖掘技术角度探讨了入侵检测的实现问题。以上方法都需要大量或完备的审计数据集才能达到比较理想的检测性能，并且训练时间较长，而在实际中建立入侵检测模型较困难，这需要考虑在小样本的情况下，提取审计数据特征，实现入侵检测。

粗糙集理论(rough set)是20世纪80年代由Pawlack提出的一种处理模糊性与不确定性的数学工具[4]。粗糙集理论建立在分类机制上，将知识理解为对数据的划分，是在特定空间上由等价关系构成的划分。粗糙集理论认为知识库中的知识不是同等重要的，而且还存在冗余，不利于作出正确的决策，它提供了一套比较成熟的在样本数据集中发现数据属性之间关系的方法。知识约简要求在保持知识库分类和决策能力不变的条件下，删除不相关或不重要的属性。在用粗糙集理论进行分析时，先从所有属性中筛选出反映数据之间本质关系的重要属性，在基于这些重要属性来建立规则。因此将粗糙集应用于入侵检测中，能从有限的正常调用序列样本集中发现反映数据属性之间关系的本质特征，更有效地逼近理想的分类模型，并且属性约简能得到最小分类检测规则集，这样使得基于粗糙集的入侵检测模型在先验知识不足的情况下，仍然有较好的检测率。本文提出了基于粗糙集的入侵检测模型，并以系统调用序列作为入侵数据，给出了计算机仿真结果。

1 粗糙集的基本概念及知识约简

定义 1 称S =〈U，A，V，f 〉为知识系统，其中U表示对象的论域，A为属性集，A=C∪D，C为条件属性子集，D为决策属性子集。Vp表示p∈A的值域，f：U×A→V是一个信息函数。 收稿日期：2004 10 15

作者简介：彭 宏(1966 )，男，硕士，教授，主要从事信息安全、数据挖掘方面的研究.

【摘要】为了克服入侵检测系统存在着在先验知识较少情况的推广能力差的问题,提出了基于粗糙集理论的入侵检测方法。利用粗糙理论,建立了系统调用短序列的检测模型并应用于sendmail调用序列检测。实验结果表明：它不需要全部的正常和异常的信息,在给出较少的正常和异常调用序

第1期 彭 宏: 基于粗糙集理论的入侵检测方法研究 109

定义 2 对于知识系统S =〈U，A，V，f 〉，B A，称二元关系IND(B) ={(x, y)∈U×U｜ p∈B，f(x, p) = f(y, p)}为S上的不可分辨关系。x与y在S中关于属性集B是不可分辨的，当且仅当f(x, p)=f(y, p)对所有的p∈B成立。

不可分辨关系是一个等价关系。对知识系统S=(U，A，V，f )和B A可以产生U的一个等价关系，IND(B)

IND(B)有序对AS=(U，IND(B))称为近似空间，对U的任意元素x，关系IND(B)中x的等价类可以表示为[x]IND(B)。

的等价类称为基本集。

定义 3 对于知识系统S=(U，A，V，f )，B A，X U称。

BX=x∈U|[x]IND(B) X {}

BX={x∈U|[x]IND(B)∪X≠Φ}

分别为X的B下近似和B上近似。

定义 4 对于知识系统S=(U，A，V，f )，R A。对于U上的关系IND(R)，引入符号U/IND(R)表示IND(R)

的所有等价类簇。对于A= C∪D，定义：POSB(D)=∪{BX|X U/IND(D)}，称为IND(D)在B下的正区域。

POSB(D)是U中根据B中的信息(不可分辨关系IND(B))可以确定地归入D的不可分辨类的元素的集合。在一个信息系统中，各条件属性之间往往存在某些程度上的依赖或关联，也就是说，一般存在C’ C，由C’中的属性可以确定决策属性的取值，这也正是感兴趣的问题，即从中发现那些简单的、概括化的知识。

定义 5 对于属性p∈C，若知识POSC(D)= POSC-{p}(D)，则p在C中关于D是多余的。反之，p在C中关于D是不可缺少的。

这说明如果一属性在信息系统中是多余的，它可以从系统中去掉而不影响原系统的依赖关系，而不可缺少的属性带有信息系统对象的基本信息。

入侵检测样本数据经过预处理后，构成一个知识系统S =〈 U，A，V，f 〉。对知识约简的要求是，既要消除冗余信息，减少计算量，提高识别速度，又要防止因约简造成重要信息的丢失，影响识别的正确性。粗糙集的知识约简表现为不丢失信息的前提下，最简单地表示为知识系统的条件属性与决策属性的依赖与关联度。通过关于决策的约简生成粗糙集的分类模型的决策规则的条件部分，从而得到具有最小决策规则分类模型。

2 数据预处理与特征选取

在Unix及Unix兼容操作系统中，进程运行过程中会产生一系列调用，通过对这些系统调用的分析，有可能发现进程的异常运行状况，进而可判断出该系统是否受到攻击。一个正常行为可由其调用短序列来描述，其程序执行代码具有相对的稳定性。在异常行为中，可能出现和正常情况有一定差异的系统调用短序列，也就是说，在正常的系统调用中出现的都是正常短序列，表1 正常和异常的系统调用短序列样本示例 而 …… 此处隐藏：4251字，全部文档内容请下载后查看。喜欢就下载吧 ……