分阶段K邻居模型在入侵检测系统中的应用研究
摘 要：分阶段K邻居模型(KNS)是一种可用于入侵检测系统中的数据挖掘模型。KNS先将节点状态分成不同的阶段，然后为每个节点查找同阶段内K邻居和不同阶段邻居，最后分别对阶段内部邻居和阶段邻居的相关属性进行统计挖掘，最终得到节点的阶段评价值。实验将KNS模型应用在基于WLAN数据包的入侵检测系统中，通过比较节点的阶段评价值是否异常判断是否存在入侵。结果表明,KNS可以快速地处理数据包并有效地检测攻击。
关键词：分阶段K邻居模型；入侵检测系统；数据挖掘；无线局域网
入侵检测系统，就是按照一定的安全策略对网络、系统的运行状况进行监视，尽可能地发现各种攻击企图、行为或者结果，以保证网络系统资源的机密性、完整性和可用性。入侵检测系统根据分析对象的不同，可以分为基于主机的和基于网络数据包的入侵检测系统。模式匹配方法[1-2] 入侵检测系统中应用广泛，该方法根据预先制定的模式检测攻击，可以有效地发现已知模式的攻击，但是不能发现未知模式的攻击。
数据挖掘，就是从大量数据中获取有效、潜在、有用、新颖的模式的非平凡过程。将数据挖掘方法应用在入侵检测系统中[3],可以有效地挖掘出新的模式，发现新的攻击。在基于主机的入侵检测系统中已有很多研究，也取得了不错的成果。常用的方法有支持向量机[4] 、隐马尔科夫模型[5]、KNN[6]等。
基于网络数据包的入侵检测系统是将网络数据包作为分析的对象，有数据量大、数据变换快等特点，而传统的数据挖掘方法在应用中往往出现运算时间复杂度过高,不能在有限时间内处理完大量数据包的难题。
从IEEE802.11协议[7] 中可以发现：在不同的阶段，网络数据包的类型是完全不同的，如认证阶段只有认证报文，认证阶段结束后进入连接阶段，只会出现连接报文，在认证阶段后的任何阶段都可以发生断开认证阶段等,不同的阶段是相继发生但是阶段间是相互独立的。传统的数据挖掘方法会将不同阶段的数据包统一分析，不仅会产生极大且无谓的计算量，而且不能体现出阶段性的特点。本文提出了一种分阶段K邻居数据挖掘方法，可以有效地解决上述问题。
该函数与节点本身的属性和节点的内部邻居集有关，而且不同属性的内部邻居集对节点的内部评价值的影响力不一样。
(2) 阶段评价函数:评价节点和该节点阶段邻居特征的函数。
该函数与节点的内部评价值和节点的阶段邻居有关，而且不同的阶段邻居对节点的外部评价值的影响力不一样。
2 KNS算法
