Разработка модели и алгоритмов обнаружения вторжений на основе динамических байесовских сетей

• Автор: Дайнеко, Вячеслав Юрьевич
• Шифр специальности: 05.13.19
• Научная степень: Кандидатская
• Год защиты: 2013
• Место защиты: Санкт-Петербург
• Количество страниц: 131 с. : ил.

Список сокращений
Глава 1 Анализ систем обнаружения вторжений
1.1 Системы обнаружения вторжений
1.2 Обзор проблем обнаружения вторжений
1.3 Различие между системой обнаружения атак и системой обнаружения вторжений
1.4 Выводы
Глава 2 Вероятностные модели обнаружения вторжений
2.1 Обзор вероятностных моделей
2.1.1 Марковские сети
2.1.2 Скрытая Марковская модель
2.1.3 Авторегрессивная скрытая Марковская сеть
2.1.4 Задачи, решаемые с помощью скрытых Марковских моделей
2.1.5 Фильтр Калмана
2.1.6 Байесовские сети
2.1.7 Вероятностные запросы
2.1.8 Байесовский вывод
2.2 Динамические байесовские сети
2.3 Обучение динамических байесовских сетей
2.3.1 Алгоритмы обучения параметров байесовской сети
2.3.2 Алгоритмы обучения структуры байесовской сети
2.4 Вероятностный вывод на основе динамических байесовских сетей
2.4.1 Алгоритмы вероятностного вывода
2.5 Проблема задания априорных вероятностей
2.6 Выводы
Глава 3 Разработка модели и методов обнаружения вторжений

3.1 Разработка метода анализа информативных характеристик сетевого трафика
3.1.1 Критерий прироста информации
3.1.2 Коэффициент усиления информации
3.1.3 Описание набора данных KDD
3.1.4 Описание и анализ набора данных NSL-KDD
3.1.5 Сравнительный анализ набора данных KDD
3.2 Разработка вероятностной модели обнаружения вторжений
3.3 Разработка метода поиска новых типов вторжений с использованием вероятностного вывода
3.4 Выбор числа срезов динамических байесовских сетей
3.5 Выводы
Глава 4 Разработка параллельного алгоритма обучения структуры динамических байесовских сетей
4.1 Обзор алгоритмов обучения структуры байесовских сетей
4.1.1 Алгоритмы обучения структуры байесовской сети на основании ограничений условной независимости
4.1.2 Алгоритмы обучения структуры байесовской сети на основании оптимизации меры качества сети
4.1.3 Гибридные алгоритмы
4.2 Последовательный алгоритм обучения Max-Min Hill-Climbing
4.2.1 Преимущества гибридного алгоритма Max-Min Hill-Climbing
4.2.2 Недостатки гибридного алгоритма Max-Min Hill-Climbing
4.2.3 Описание гибридного алгоритма Max-Min Hill-Climbing
4.3 Разработка параллельного алгоритма обучения Max-Min Hill-Climbing
4.4 Сравнение последовательного и параллельного алгоритмов обучения структуры байесовской сети Max-Min Hill-Climbing
4.5 Выводы

Глава 5 Разработка и тестирование системы обнаружения вторжений на основе динамических байесовских сетей
5.1 Описание разработанной системы обнаружения вторжений
5.2 Тестирование разработанной системы обнаружения вторжений
5.3 Рекомендации для практического внедрения разработанной системы обнаружения вторжений
5.4 Выводы
Заключение
Список литературы

ских задач, байесовские методы сильно сужают пространство всех возможных гипотез [58]. Поэтому выбор способа задания априорных вероятностей в байесовском выводе играет важную роль. Приведем сравнение некоторых известных подходов, использующихся в байесовских методах [59].
Метод максимального правдоподобия, основанный на вероятностном подходе, предполагает, что все гипотезы равновероятны. Поэтому выбирается та гипотеза, которая обладает максимальным значением правдоподобия (см. формулы (11) и (12)):
Р(*11Р) = — —,Ь,еН,(11)
Иж = а^_тахРф И), (12)

где, /г — гипотеза, задающая одинаковую вероятность для всех конкурирующих гипотез Н ; О — данные наблюдений; Р{Б К) — правдоподобие данных наблюдений для равновероятных гипотез к.
Данный метод находит широкое применение и как метод нахождения максимума апостериорной вероятности. Недостатки вероятностного подхода [58]:
— проявляется эффект переобучения с чрезмерным усложнением байесовской сети, что приводит к невозможности сделать выбор между одинаково хорошо описывающими данные байесовскими сетями;
— в случае если априорные вероятности заданы неадекватно, то необходимо увеличить число слоев ДБС для уменьшения влияния ошибки, что приводит к возрастанию вычислительной сложности и неоптимальности данного метода;
— необходима формализация понятия сложности.
В информационном подходе выбор гипотезы является суммой двух слагаемых (см. выражение (13)): сложность гипотезы и как хорошо с помощью гипотезы описываются данные: