一個基於混合式網路流量分析之新的異常偵測模型

Abstract

入侵偵測系統扮演著為系統偵測可能的攻擊行為、再通知防火牆機制進行各種惡意行為應變機制之重要角色；入侵偵測技術主分為「異常偵測」與「誤用偵測」，前者定義網路上的正常行為，應用各種相關的技術來判斷、預測可能的異常行為，後者已定義已知攻擊行為為主，為目前入侵偵測軟體所使用之方式。在許多異常偵測的相關研究中，其偵測的工作，往往仰賴著他人所蒐集好之人工網路資料來進行異常分析，但是使用此類資料來分析異常行為，即使在分析該離線資料時有良好的偵測率，但是只要混合了真實網路的資料，往往會使誤報率大幅增加、偵測率下降。因此，本論文在此提出一個混合人工、真實網路資料之入侵偵測模組，使得過濾後的真實網路資料對於訓練過程的妨礙降到最低，為未來實現線上即時異常偵測之重要歷程。