云環(huán)境下基于模糊C均值的入侵檢測系統(tǒng)

閆學娜 艾華 景紅娜 張繼蕾

關(guān)鍵詞：云計算；入侵檢測；特征選擇；模糊C均值

1引言

云計算是IT領(lǐng)域中一種按需取用及付費的全新商業(yè)模式。云計算因其節(jié)約成本、維護方便、配置靈活，能夠應對大數(shù)據(jù)時代的產(chǎn)生的IT資源問題，已經(jīng)成為企業(yè)、個人等優(yōu)先選擇的一項服務(wù)。然而，云計算其巨大的市場對入侵者也有著巨大的誘惑力。由于規(guī)模巨大、結(jié)構(gòu)復雜、用戶繁多，其潛在攻擊面較大，網(wǎng)絡(luò)安全機制亟待完善，云環(huán)境相應的安全問題也呈直線上升趨勢。本文將聚類分析應用到云環(huán)境中檢測異常流量數(shù)據(jù)，是對入侵檢測系統(tǒng)的一種完善。

2云環(huán)境下入侵檢測特點

2.1云環(huán)境的復雜性

云計算主要有用戶基礎(chǔ)架構(gòu)即服務(wù)（IaaS）、平臺即服務(wù)（PaaS）、軟件即服務(wù)（SaaS）、網(wǎng)絡(luò)即服務(wù)（Naas）4種模式。金融企業(yè)及個人用戶等通過互聯(lián)網(wǎng)即可購買和使用相應的服務(wù)及資源。目前，國外主要的云提供商有亞馬遜（AWS）、谷歌云、微軟Azure和IBMCloud等，國內(nèi)主要的云提供商有阿里云、百度智能云、騰訊云、中國電信天翼云和華為云等。不同云提供商提供的服務(wù)不盡相同，多面向基礎(chǔ)服務(wù)、企業(yè)應用、安全防護、網(wǎng)絡(luò)與存儲、數(shù)據(jù)庫服務(wù)，而且在新興技術(shù)（如人工智能、物聯(lián)網(wǎng)和邊緣計算等）方面，也有布局，涉及領(lǐng)域較廣。

2.2云環(huán)境面臨的威脅

云計算環(huán)境聚集了大量的物理和虛擬資源，基于遠程云的基礎(chǔ)架構(gòu)，通過互聯(lián)網(wǎng)提供IT服務(wù)。網(wǎng)絡(luò)安全機構(gòu)Sophos公司發(fā)布的一份《2020年云安全狀況》調(diào)查報告表示，近四分之三的企業(yè)發(fā)生了云安全事件，這表明云安全事件時刻都在發(fā)生。《中國互聯(lián)網(wǎng)發(fā)展報告》指出，2018年云平臺已成為網(wǎng)絡(luò)攻擊的重災區(qū)，2022年惡網(wǎng)絡(luò)行為加速向工業(yè)互聯(lián)網(wǎng)領(lǐng)域滲透，云安全形勢非常嚴峻。自網(wǎng)絡(luò)誕生以來，攻擊和安全漏洞則一直存在。基于云的解決方案已在公共互聯(lián)網(wǎng)上公開，這也為黑客人侵和計算機病毒入侵提供了一定的便利。

3基于聚類分析的入侵檢測技術(shù)

3.1入侵檢測技術(shù)

入侵檢測這一概念于1980年提出。通過對東西流量數(shù)據(jù)和南北流量數(shù)據(jù)的主動監(jiān)測來防止入侵的發(fā)生。可以實現(xiàn)針對非法入侵的攔截、響應并進行記錄，因此入侵檢測系統(tǒng)是網(wǎng)絡(luò)安全防御的重要組成部分。云環(huán)境中，將若干入侵檢測系統(tǒng)（IDS）布置在不同的主機上或虛擬機上，利用分布式存取技術(shù)采集數(shù)據(jù)，對云內(nèi)部及外部海量網(wǎng)絡(luò)數(shù)據(jù)進行監(jiān)控。云環(huán)境中，對于完全依靠專家對入侵特征主觀提取的方式已經(jīng)不完全適用，而人工方式構(gòu)造檢測規(guī)則更新的時效性差。通過算法提取信息的數(shù)據(jù)挖掘手段適合云環(huán)境下的海量數(shù)據(jù)檢測，聚類分析是其中一種。針對模糊分析的應用研究也成為學者的關(guān)注點。

2000年，Dickerson等[1]應用模糊理論設(shè)計了一個基于代理的入侵識別引擎。2016年，劉緒崇等[2]對模糊C均值聚類算法的目標函數(shù)進行了優(yōu)化，針對云計算應用，設(shè)計了一個入侵檢測模型。2017年，唐光艷[3]提出一種基于約束模糊聚類思維的網(wǎng)絡(luò)入侵檢測方法，并通過實驗將此方法與神經(jīng)網(wǎng)絡(luò)方法進行了比較。2020年，朱璽等[4]利用模糊C均值聚類算法計算類內(nèi)平衡隸屬度，構(gòu)成模糊隸屬函數(shù)，在模糊隸屬函數(shù)中引人類間平衡隸屬度，設(shè)計了“類內(nèi)+類間”的隸屬度函數(shù)模型。

3.2改進的模糊C均值聚類算法

利用模糊集合及隸屬度函數(shù)的模糊C均值聚類（FCM）算法中，隸屬度表示每個數(shù)據(jù)點屬于某個聚類中心的程度。

3.3模糊入侵檢測系統(tǒng)架構(gòu)設(shè)計

入侵檢測過程分為云數(shù)據(jù)采集、特征提取、模糊檢測和入侵響應4個步驟。具體如圖1所示。

3.3.1云數(shù)據(jù)采集模塊

云計算環(huán)境中，越來越豐富的業(yè)務(wù)帶來了流量的變化，東西流量成為主要流量方式。當前，存在很多針對大規(guī)模網(wǎng)絡(luò)數(shù)據(jù)采集的方法，如基于Sketch的數(shù)據(jù)采集方法[5]、FlowRadar數(shù)據(jù)采集方法[6]等，滿足云環(huán)境海量數(shù)據(jù)量采集需求。啟動數(shù)據(jù)采集進程收集云環(huán)境數(shù)據(jù)，輸出由時間戳、源地址等組成的高維網(wǎng)絡(luò)數(shù)據(jù)記錄。

3.3.2特征提取模塊

高維網(wǎng)絡(luò)流量數(shù)據(jù)存在不相關(guān)和冗余特征，使入侵檢測系統(tǒng)的性能受到極大的影響，既降低了檢測速度，又消耗了大量的計算資源。特征選擇算法能夠有效解決高維數(shù)據(jù)所帶來入侵檢測系統(tǒng)的性能降低問題。當前，常用的特征選擇算法有遺傳算法、基于正余弦算法和群智能優(yōu)化算法等[7-8]。通過特征選擇算法，對特征進行選擇，剔除不相關(guān)的或者冗余的特征，以提高檢測速度及準確性。

3.3.3入侵檢測模塊

誤用檢測和異常檢測是兩種不同的入侵檢測方法。相較于誤用檢測，異常檢測能夠識別未知的網(wǎng)絡(luò)攻擊行為。包括基于神經(jīng)網(wǎng)絡(luò)、基于粗糙集理論、粒子群及模糊聚類算法的入侵檢測技術(shù)已經(jīng)被廣泛引入異常檢測相關(guān)問題中。本文利用改進的模糊C均值算法作為入侵檢測模塊的核心算法。入侵檢測模塊先指明若干聚類中心，再利用模糊C均值算法對數(shù)據(jù)進行聚類分析，標記異常數(shù)據(jù)，最后對標記為異常類的數(shù)據(jù)樣本做出預警。

3.3.4入侵響應模塊

在檢測到存在異常數(shù)據(jù)行為后，入侵相應模塊將被啟動。通過通知、人工響應、動化響應等做出對應的處理。比如，封堵攻擊IP、關(guān)閉對應端口等。當前，入侵檢測系統(tǒng)對入侵響應就是通知安全運維人員進行處理。現(xiàn)代黑客常使用自動化攻擊的手段，這就需要入侵檢測系統(tǒng)向自動化響應方向發(fā)展。自動化響應通過建立警告與響應之間的映射關(guān)系或者對發(fā)生的攻擊進行推理做出動態(tài)決策，快速響應異常事件的發(fā)生。

本文針對云環(huán)境中數(shù)據(jù)的復雜性與大量性，以云數(shù)據(jù)采集、特征提取、模糊檢測、入侵響應4個基本模塊來構(gòu)建入侵檢測系統(tǒng)，將模糊聚類理論應用到云環(huán)境下的入侵檢測中，以提高云環(huán)境下入侵檢測的效率以及準確率，為解決云環(huán)境中的安全問題提供參考方案。