基于关联规则的网络异常检测系统设计与实现

摘要

入侵检测技术是网络安全防御的核心技术之一。由于网络承载的带宽流量日益增多,入侵检测系统需要提供快速的检测能力。Snort入侵检测系统依靠将抓取的数据与规则匹配来判断是否受到攻击,因此规则的好坏决定了系统性能的高低。结合数据挖掘技术,设计实现一种基于关联规则的关联分析器插件来增强Snort对入侵的识别能力。首先利用Apriori对Snort产生的告警日志进行数据挖掘,搜索隐藏的攻击模式;然后,将关联规则转化为相应的Snort规则。最后,利用SYN Flood攻击测试规则增强的Snort系统的性能,结果表明,改进后的Snort能够提高对SYN Flood攻击的检测效率。