龙源期刊网 http://www.qikan.com.cn
一种Apriori 改进算法在免疫入侵检测系统中的应用研究
作者：王菲
来源：《电脑知识与技术》2013年第23期
摘要：该文提出在免疫入侵检测系统模型中引入数据挖掘技术，用于提高系统检测效率。针对传统Apriori算法存在的一些固有缺点，提出了一种新的改进算法，一定程度上克服了原有算法存在的问题。
关键词：入侵检测；免疫；数据挖掘；Apriori
中图分类号：TP393 文献标识码：A 文章编号：1009-3044（2013）23-5249-04
基于免疫学机理的入侵检测技术是受到生物免疫机制的启发，将生物免疫的一些优良特性（自适应性，自组织性，自学习性，动态性）引用到解决计算机安全问题上，这种技术能够克服传统计算机安全技术中存在的对未知类型攻击防御效果差的缺陷，动态的针对系统环境做出相应的变化，具有一定的智能性。
最早将免疫原理引入计算机安全领域的是New Mexico大学的Forrest教授和她的研究小组。该小组于1999年设计了一个人工免疫系统，系统预先截取网络上一段时间内（假定在这段时期该网络内没有遭到攻击）一定数量的数据包，经过简单的数据预处理，提取出某些特征点构成self集，然后利用否定选择算法生成一定数量的49位的Noself成熟检测器，将这些检测器与网络包中的数据包进行匹配运算，如果匹配发生，则说明发现异常。但该系统不可避免的会出现Noself集数量过于庞大的问题，使得系统在实际运行时占用系统资源较大。 数据挖掘是未来信息处理的骨干技术之一，它以一种全新的概念改变着人类利用数据的方式。数据挖掘能够找出过去数据之间的潜在联系，进行高层次的分析，以便更好地做出理想的决策、预测未来的发展趋势等。通过数据挖掘，有价值的知识、规则或者高层次的信息就能从数据库中抽离出来，从而使大型数据库作为一个丰富、可靠的资源为知识的提取服务。经过长时间运行后，对入侵检测中的报警事件中的相关属性及正误关系之间进行数据挖掘，可有效的缩减Noself集的规模。
本文在基于关联知识挖掘的Apriori算法基础上提出改进方案，提高算法效率，并将改进后的算法用于人工免疫入侵检测系统的抗原匹配检测过程中，提高人工免疫入侵检测系统的运行效率
1 人工免疫入侵检测系统模型
龙源期刊网 http://www.qikan.com.cn
其系统原理如下：首先根据特定程序建立相应的正常行为模式数据库，随后比较监控到的程序行为模式和数据库中保存的行为模式，一旦发现数据库中没有该模式，则报告异常。此时，系统可以采取自动反应措施，也可以报警。
基于此原理的入侵检测技术通常要建立一个检测子集合用以匹配抗原，检测子是随机生成的，然后要经过阴性选择阶段得到成熟的检测子。这些成熟的检测子监视网络中的数据，如果匹配到的异常超过预先设定的阈值，检测子则被激活，这时会向人工操作员报告并由其决定这是否是一次真正的入侵，如果是，检测子将提升为记忆检测子。一般将正常的用户或者网络行为视为自我，其他的都视为非我。构成自我和非我的基因用代表行为的属性来表达，例如TCP SYN请求包中的源IP地址、目的IP地址和服务端口等属性。检测子与抗原的特异性互补结合用匹配算法来实现。
文献[3]研究了阴性选择在用于网络入侵检测的AIS中的作用，实验结果证明在将该算法用于实际的网络流量数据时，存在严重的规模问题。 2 基于关联知识的数据挖掘基本概念
一般地，给定一个事务数据库。关联规则挖掘问题就是通过用户指定最小支持度和最小可信度来寻找强关联规则的过程。在本例中通过分析为Self及Noself集中各事件内部属性之间的关联度，找出属性之间及与入侵行为之间的强关联规则，以用来缩减检测子的规模，提高系统效率。
3 Apriori算法分析及改进 4 结论 参考文献：
[1] DE CASTRO L N.Fundamentals of natural computing[M].New York：Champman & Hall/CRC，2006.
[2] 莫宏伟.人工免疫网络记忆分类器原理与应用研究[D].哈尔滨：哈尔滨工程大学，2005. [3] P-Grid in a nutshell[EB/OL].http：//www.p-grid.org，2004.
[4] R.Agrawal ，R.Srilcant，Fast Algorithms for Mining Association Rules[C].Porc，of 20th int’1 Conference on Very Large Databases，Santiago，Chile，Sept.1994
[5] 毛国军，段立娟，王实等.数据挖掘原理与算法[M].北京：清华大学出版社，2005，7.
一种Apriori 改进算法在免疫入侵检测系统中的应用研究
