[发明专利]一种基于数据挖掘算法的Snort改进方法

说明书

本发明涉及一种基于数据挖掘算法的Snort改进方法。该方法包括：入侵检测Snort系统获取网络上的数据P；利用改进后的K‑means算法将P与正常行为数据库进行相似性聚类，若相似度小于聚类半径r即判断为正常数据，直接跳过Snort的误用检测过程；反之，则再次与Snort中的异常数据库做对比，计算数据与各异常行为类的相似度，若能聚到异常行为类中，则表明其为异常数据类型，系统发出相应的报警；若仍然不能聚到异常类中，则将其添加至正常数据库，重新更新正常行为数据库。网络上数据有很大部分都是正常数据，异常数据只占有小部分，且改进后的K‑means算法聚类准确率高，经过上述方式处理，会大大减少误用检测引擎所处理的数据，从而提高了Snort系统的整体检测准确率和效率。

技术领域

本发明属于信息安全技术领域，涉及一种基于数据挖掘算法的Snort改进方法。

背景技术

随着网络的迅速发展，“互联网+”模式得到了广泛应用。与此同时，网络入侵技术也在发展，互联网和信息通信网络的安全形势更加严峻，产生的蓄意攻击和破坏造成的影响更加广泛。面对复杂多样的攻击手段，传统的数据库安全机制显得有些乏力。而入侵检测是新一代的安全防卫技术，IDS Snort是一种网络入侵检测系统(Network IntrusionDetection System.NIDS)，在业内具有很重要的地位，特别是在国内安全行业，其所用的规则语法更是被作为业界标准；Snort是一个易于扩展的开源NIDS，使用灵活，占用资源少，但是在入侵检测方面功能很强大，它能够实时的进行网络数据流量的分析，并且通过其检测引擎模块检测各种入侵或攻击；Snort不仅支持多种硬件平台，而且能够在Windows、Linux等多种操作系统上安装运行；此外，Snort自身已经定义了一些动态加载的检测规则，并且用户可自行移除或添加规则而无须更改核心程序。综合这些优点，Snort成为了目前主流的且最受欢迎的IDS，在入侵检测技术竞争中占据优势。但是Snort在入侵检测技术方面采用的是传统的规则匹配模式，在当前的大数据环境下，此模式匹配效率限制了Snort的检测能力。而聚类算法的出现很好的解决了对大量信息有效管理困难的问题，本文引入最常用的聚类算法——Kmeans算法对Snort的核心模块——检测引擎模块进行改进。但Kmeans算法由于其初始聚类中心k的随机性，导致其聚类结果不准确，一直被人们所诟病。故针对Kmeans算法核心问题进行改进，使其更好的提高IDS Snort的检测效率。

发明内容

有鉴于此，本发明的目的在于提供一种基于数据挖掘算法的Snort改进方法，在该方法中，针对包含一个将改进的Kmeans算法与入侵检测技术相结合后对Snort进行改进的方法，实现Snort在检测效率和准确率上有明显提高，使入侵检测技术更进一步，信息安全更加可靠。

为达到上述目的，本发明提供如下技术方案：

一种基于数据挖掘算法的Snort改进方法，该方法为：针对Snort系统的入侵检测模式，经过各个模块的聚类结果，分析数据是否正常，获得高效率，高准确率的Snort，该方法具体步骤为：

步骤一：Snort系统获取网络上的数据P并指定聚类半径r；

步骤二：利用改进K-means算法将P与正常行为数据库进行相似性聚类，判断聚类结果；

步骤三：根据聚类结果判断是否跳过Snort误用检测；

步骤四：进入Snort误用检测的数据利用改进K-means算法将数据与规则库进行相似性聚类，判断聚类结果；

步骤五：根据结果输出异常报警，或正常数据添加至正常行为数据库后更新数据库聚类结果。

进一步的，步骤一中所述Snort系统获取网络上的数据P并指定聚类半径r。利用Snort网络嗅探器在网络上获取数据的同时，将正常数据库中的数据利用改进的K-means算法根据聚类半径r进行聚类。