基于贝叶斯网的网络异常检测方法研究
罗斌
【摘 要】异常检测是网络入侵检测领域的主要研究方向之一，论文提出了一种新的基于网络特征和贝叶斯网的网络异常检测方法，首先对网络特征进行分析后确定一组特征作为变量集，然后用贝叶斯网的结构学习算法和参数学习算法对网络特征建模，最后使用学习样本对模型进行训练。
【Abstract】Anomaly detection is one of the main research directions in the field of network intrusion detection. This paper proposes a new network anomaly detection method based on network characteristics and Bayesian networks. Firstly， the network features are analyzed and a set of features are determined as a set of variables. Then the structural learning algorithm and parameter learning algorithm of Bayesian networks are used to model the network characteristics. Finally， the model is trained with the learning sample.
【关键词】入侵检测;异常检测;网络特征;贝叶斯网
【Keywords】 intrusion detection; anomaly detection;network features;Bayesian networks
【中图分类号】TP393? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ?【文献标志码】A? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ?【文章编号】1673-1069（2018）12-0166-02
1 引言
自1987年Denning[1]首次提出异常检测的概念之后，异常检测很快成为入侵检测领域研究的热点。已经有很多学者使用不同方法（如数据挖掘，人工智能等）从不同方面（如系统日志，进程调度顺序，网络流量等）对异常检测进行了研究，但是将贝叶斯网应用到网络异常检测的却很少。Sebyala等人[2]将贝叶斯网应用到proxylet的异常检测中，根据CPU和内存利用率构建了一个仅有3个变量的贝叶斯网作为proxylet分类模型，他们的贝叶斯网过于简单，而且没有给出具体的检测方法和检测结果。张琨等人[3]用贝叶斯网作为分类器，并用这些分类器作为入侵检测的分布式代理來构造大型网络的入侵检测系统，但测试结果表明他们的方法并不理想。由于现有的贝叶斯网异常检测模型和方法不理想，所以本文提出一种新的基于贝叶斯网的网络异常检测方法。
2 相关定义和引理
2.1 数据
定义1，随机变量简称变量，是定义在样本空间上的函数，通常用大写字母表示，
3 基于贝叶斯网的网络异常检测方法
4结语
本文提出了一种基于贝叶斯网的网络异常检测方法，能快速、有效的训练出网络异常检测的贝叶斯网络，下一步将对该方法进行实证研究
【注释】
①表示笛卡尔积。
【参考文献】
【1】D E Denning.An intrusion-detection model[J].IEEE Transaction on Software Engineering，1987，13（2）：222-232.
【2】A A Sebyala，T Olukemi，L Sacks.Active platform security through intrusion detection using navie Bayesian Network for anomaly detection[C].In：Proceedings of the London Communications Symposium，2002.
【3】张琨，徐永红，王珩，等.用于入侵检测的贝叶斯网络[J].小型微型计算机系统，2003，24（5）：913-915.
【4】张连文，郭海鹏.贝叶斯网引论[M].北京：科学出版社，2006.
【摘 要】异常检测是网络入侵检测领域的主要研究方向之一，论文提出了一种新的基于网络特征和贝叶斯网的网络异常检测方法，首先对网络特征进行分析后确定一组特征作为变量集，然后用贝叶斯网的结构学习算法和参数学习算法对网络特征建模，最后使用学习样本对模型进行训练。
【Abstract】Anomaly detection is one of the main research directions in the field of network intrusion detection. This paper proposes a new network anomaly detection method based on network characteristics and Bayesian networks. Firstly， the network features are analyzed and a set of features are determined as a set of variables. Then the structural learning algorithm and parameter learning algorithm of Bayesian networks are used to model the network characteristics. Finally， the model is trained with the learning sample.
【关键词】入侵检测;异常检测;网络特征;贝叶斯网
【Keywords】 intrusion detection; anomaly detection;network features;Bayesian networks
【中图分类号】TP393? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ?【文献标志码】A? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ?【文章编号】1673-1069（2018）12-0166-02
1 引言
自1987年Denning[1]首次提出异常检测的概念之后，异常检测很快成为入侵检测领域研究的热点。已经有很多学者使用不同方法（如数据挖掘，人工智能等）从不同方面（如系统日志，进程调度顺序，网络流量等）对异常检测进行了研究，但是将贝叶斯网应用到网络异常检测的却很少。Sebyala等人[2]将贝叶斯网应用到proxylet的异常检测中，根据CPU和内存利用率构建了一个仅有3个变量的贝叶斯网作为proxylet分类模型，他们的贝叶斯网过于简单，而且没有给出具体的检测方法和检测结果。张琨等人[3]用贝叶斯网作为分类器，并用这些分类器作为入侵检测的分布式代理來构造大型网络的入侵检测系统，但测试结果表明他们的方法并不理想。由于现有的贝叶斯网异常检测模型和方法不理想，所以本文提出一种新的基于贝叶斯网的网络异常检测方法。
2 相关定义和引理
2.1 数据
定义1，随机变量简称变量，是定义在样本空间上的函数，通常用大写字母表示，
3 基于贝叶斯网的网络异常检测方法
4结语
本文提出了一种基于贝叶斯网的网络异常检测方法，能快速、有效的训练出网络异常检测的贝叶斯网络，下一步将对该方法进行实证研究
【注释】
①表示笛卡尔积。
【参考文献】
【1】D E Denning.An intrusion-detection model[J].IEEE Transaction on Software Engineering，1987，13（2）：222-232.
【2】A A Sebyala，T Olukemi，L Sacks.Active platform security through intrusion detection using navie Bayesian Network for anomaly detection[C].In：Proceedings of the London Communications Symposium，2002.
【3】张琨，徐永红，王珩，等.用于入侵检测的贝叶斯网络[J].小型微型计算机系统，2003，24（5）：913-915.
【4】张连文，郭海鹏.贝叶斯网引论[M].北京：科学出版社，2006.
