新聞中心

EEPW首頁(yè) > 模擬技術(shù) > 設(shè)計(jì)應(yīng)用 > 基于數(shù)據(jù)挖掘的入侵檢測(cè)系統(tǒng)的改進(jìn)與實(shí)現(xiàn)

基于數(shù)據(jù)挖掘的入侵檢測(cè)系統(tǒng)的改進(jìn)與實(shí)現(xiàn)

作者: 時(shí)間:2009-09-21 來(lái)源:網(wǎng)絡(luò) 收藏
3 挖掘結(jié)果分析
以Apriori_lift算法挖掘數(shù)據(jù)集udppro為例,挖掘過(guò)程如下:
過(guò)程一:挖掘數(shù)據(jù)源的生成。
Udppro數(shù)據(jù)集經(jīng)過(guò)數(shù)據(jù)預(yù)處理后生成了挖掘數(shù)據(jù)源Udpsource.txt,共計(jì)7 585條描述網(wǎng)絡(luò)連接的記錄,其記錄格式如下:

本文引用地址:http://m.butianyuan.cn/article/188614.htm

pro:UDP sip:192.168.0.1
sport:67 dip:255.255.255.255 dport:68 lenth:315ttl:128
過(guò)程二:算法挖掘
(1)find association rules with the apriori algorithm (2)reading f:\mining\udpsource.txt…[163 item(s),7585 transaction(s)]done[0.13s].
(3)sorting and recoding items…[21 item(s)]done[0.01s].
(4)creating transaction tree…done[0.04s].
(5)checking subsets of size 1 2 3 4 5 done[0.00s].
(6)writing f:\mining\apriori.txt…[540 rule(s)]done[0.37s].
過(guò)程三:挖掘結(jié)果分析
挖掘出540條規(guī)則,經(jīng)過(guò)規(guī)則合并以及多屬性并存的原則過(guò)濾之后篩選出17條規(guī)則如下:
Apriori_lift挖掘結(jié)果

(1)lenth:58 sport:137 dip:202.198.178.255 ttl:128 dport:137 pro:UDP
(2)sip:192.168.0.22 dport:161 ttl:128pro:UDP dip:202.198.181.65
(3)dport:138 sport:138 dip:202.198.178.255 ttl:128 pro:UDP
(4)dip:202.198.181.65 ttl:127 sip:202.198.178.131 dport:161 pro:UDP
(5)sport:4126 sip:192.168.0.22 dip:202.198.181.65dport:161 ttl:128
(6)sport:2039 ttl:127 sip:202.198.178.131 dip:202.198.181.65 dport:161 ttl:127
(7)lenth:58 sport:137 dip:202.198.178.255 dport:137
(8)sip:192.168.0.22 dip:202.198.181.65 dport:161ttl:128
(9)sport:138 dip:202.198.178.255 dport:138 ttl:128 pro:UDP
(10)sip:202.198.178.131 sport:4126 dip:202.198.181.65ttl:127 dport:161 pro:UDP
(11)sip:202.198.178.131 sport:2039 dip:202.198.181.65dport:161 ttl:127 pro:UDP
(12)sport:137 dip:202.198.178.255 dport:137 lenth:58ttl:128
(13)sip:192.168.0.22 dip:202.198.181.65 dport:161 ttl:128 pro:UDP
(14)sport:138 dip:202.198.178.255 dport:138 lenth:58ttl:128
(15)sip:202.198.178.131 dip:202.198.181.65 dport;161ttl:127 pro:UDP
(16)sport:4126 sip:192.168.0.22 dip:202.198.181.65dport:161 ttl:128 pro:UDP
(17)sip:202.198.1 78.65 sport:2039 dip:202.198.178.131dport:161 ttl:127 pro:UDP
對(duì)于以上挖掘結(jié)果歸類如下:
規(guī)則歸類:
類一:規(guī)則1,3,7,9,12,14。
類別特征:dip:202.198.178.255 sport:137/138dport:137/138(sport=dport)
pro:udp ttl:127/128 lenth:58
類二:規(guī)則4,6,10,11,15,17。
類別特征:sip/dip:202.198.178.131 sport:2300/4126 dip/sip:202.198.181.65
dport:161 ttl:128/127 pro:udp
類三:規(guī)則2,5,8,13,16。
類別特征:sip/dip:192.168.0.22 sport:4126 dip/sip:202.198.181.65 dport:161
ttl:128/127 pro:udp
根據(jù)圖1網(wǎng)絡(luò)實(shí)驗(yàn)環(huán)境可知202.198.178.131是IP192.168.0.22的網(wǎng)關(guān),故規(guī)則類二與類三可以合并為一類規(guī)則。
過(guò)程四:挖掘結(jié)果說(shuō)明
規(guī)則類一說(shuō)明:137,138是UDP端口,當(dāng)通過(guò)網(wǎng)上鄰居傳輸文件時(shí)用這兩個(gè)端口,137端口是NetBIOS名稱UDP。138端口是NetBIOS數(shù)據(jù)報(bào)UDP
規(guī)則類二說(shuō)明:子網(wǎng)主機(jī)192.168.0.22通過(guò)網(wǎng)關(guān)202.198.178.131與外部網(wǎng)主機(jī)202.198.181.65進(jìn)行SNMP通信。

4 結(jié) 語(yǔ)
對(duì)基于支持度一信任度挖掘的關(guān)聯(lián)規(guī)則有效性進(jìn)行了分析,指出在挖掘過(guò)程中僅考慮支持度和信任度的不足.產(chǎn)生的關(guān)聯(lián)規(guī)則不一定是有效有趣的,甚至可能是欺騙性的,具有誤導(dǎo)作用。因此引入相關(guān)性分析來(lái)衡量規(guī)則,大大增強(qiáng)了規(guī)則的有效性。


上一頁(yè) 1 2 下一頁(yè)

評(píng)論


相關(guān)推薦

技術(shù)專區(qū)

關(guān)閉