از آنجایی که از نظر تکنیکی  ایجاد سیستم­های کامپیوتری بدون نقاط ضعف و شکست امنیتی عملا غیر ممکن است. تشخیص نفوذ در سیستم­های کامپیوتری با اهمیت خاصی دنبال می­شود. سیستم­های تشخیص نفوذ سخت­افزار  یا نرم­افزاری است که کار نظارت بر شبکه ­کامپیوتری را در مورد فعالیت­های مخرب و یا نقص سیاست­های مدیریتی و امنیتی را انجام می­دهد و گزارش­های حاصله را به بخش مدیریت شبکه ارائه می­دهد‎[۱]. سیستم­های تشخیص نفوذ وظیف شناسایی و تشخیص هر گونه استفاده غیر مجاز به سیستم، سوء استفاده و یا آسیب رسانی توسط هر دودسته کاربران داخلی و خارجی را بر عهده دارند. هدف این سیستم­ها جلوگیری از حمله نیست و تنها کشف و احتمالا شناسایی حملات و تشخیص اشکالات امنیتی در سیستم یا شبکه­کامپیوتری و اعلام آن به مدیر سیستم است. عموما سیستم­های تشخیص نفوذ  در کنار دیوارهای آتش  و بصورت مکمل امنیتی برای آن­ها مورد استفاده قرار می­گیرد. سیستم های تشخیص نفوذ ستنی نمی­توانند خود را با حملات جدید تطبیق دهند  از این رو  امروزه سیستم های تشخیص نفوذ مبتنی بر داده­کاوی مطرح گردیده­اند‎[۱]. مشخص نمودن الگوهای در حجم زیاد داده، کمک بسیار بزرگی به ما می­کند. روش­های داده­کاوی با مشخص نمودن یک برچسب دودویی (بسته نرمال، بسته غیر­نرمال) و همچنین مشخص نمودن ویژگی­ها و خصیصه با الگوریتم­های دسته بندی می­توانند داده غیر­نرمال تشخیص دهند. از همین رو دقت و درستی سیستم های تشخیص نفوذ  افزایش یافته و در نتیجه امنیت شبکه بالا می­رود‎[۱].

در این پایان­نامه سعی شده است با استفاده از روش­های مبتنی بر داده­کاوی سیتم های تشخیص نفوذ پیشنهاد کنیم که از این روش­ها برای شناسایی و کشف حملات استفاده می­کنند. در این روش ما تمامی الگوریتم­های موجود را شبیه­سازی نموده و در خاتمه بهترین الگوریتم را پیشنهاد می­نماییم. نوآوری اصلی در این پایان­نامه، استفاده از الگوریتم­های مدل کاهل و مدل قانون­محور در داده­کاوی است که تاکنون برای سیستم­های تشخیص­نفوذ استفاده نشده است. همچنین استفاده از تمام الگوریتم­های موجود در روش­های دسته­بندی است که در نرم افزار WEKA و Rapidminer موجود است[۶۷]. پیشنهاد ۵ نمونه داده که از داده اولیه استخراج شده و برای مدل­های مختلف و الگوریتم­ها بهترین جواب را می­دهد از نوآوری این پایان­نامه است. استخراج ۵ نمونه داده وقت بسیار زیادی به خود اختصاص داده وهمه الگوریتم­های مختلف موجود در مدل­های دسته­بندی با مجموعه داده­های مختلف شبیه­سازی و اجرا شدند که در نهایت ۵ نمونه داده اولیه پیشنهاد نموده­ایم.

۱-۲ بیان مسئله

در دنیای امروز، کامپیوتر و شبکه­های کامپیوتری متصل به اینترنت نقش عمده­ای در ارتباطات و انتقال اطلاعات ایفا می­کند. در این بین افراد سودجو با دسترسی به اطلاعات مهم مراکز خاص یا اطلاعات افراد دیگر و با قصد اعمال نفوذ یا اعمال فشار و یا حتی به هم ریختن نظم سیستم­ها، به سیستم ­های کامپیوتری حمله می­کنند. بنابراین لزوم حفظ امنیت اطلاعاتی و حفظ کارآیی در شبکه­های کامپیوتری که با دنیای خارج ارتباط دارند، کاملا محسوس است.

مکانیزم‌های امنیتی به ۲ گروه کلی محافظتی و مقابله‌ای تقسیم‌بندی می‌شوند. مکانیزم‌های محافظتی سعی می‌کنند از اطلاعات و سیستم در مقابل حملات محافظت کنند. مکانیزم‌های مقابله‌ای هم برای مقابله با حمله تدارک دیده شده‌اند.‎[۱] سیستم‌های تشخیص نفوذ مطابق تعریف مؤسسه ملی استانداردها و تکنولوژی‌های آمریکا، فرایندی هستند که کار نظارت بر رویدادهایی که در شبکه و سیستم رخ می‌دهد و همچنین کار تحلیل رویدادهای مشکوک را برای به‌دست آوردن نشانه نفوذ، بر عهده دارند.

۱-۳ اهمیت و ضرورت تحقیق

هدف از این پایان­نامه استفاده از روش­های مبتنی بر داده­کاوی برای تشخیص نفوذ است زیرا حملات همواره بروز می­شوند و سیستم­های تشخیص نفوذ ستنی نمی­توانند این حملات شناسایی کنند. وقتی نفوذ اتفاق می­افتد مهمترین کار شناسایی است. رخداد مربوط به نفوذ در هر زمان مرتبط به الگویی ازاتفاقات است که در گذشته رخ داده است. این داده­های تاریخی منبع بسیار مهمی از صفات هستند که نیاز هست تا بطور موثر علامت و نشانه های نفوذ در مجموعه داده­ها مشخص شود. داده­کاوی با کشف الگوهای مناسب از میان داده­های قبلی به روند ساخت این مدل ها کمک شایانی می­کند. در این روش مجموعه­ای از قانون­های دسته­بندی از داده­های شبکه بدست می­آید. این قانون­ها توانایی تعیین رفتار عادی از غیر عادی را دارا می­باشند. این پایان­نامه با استفاده از مجموعه داده DARPA مورد ارزیابی قرار گرفته است. هدف اصلی این پایان­نامه معرفی بهترین الگوریتم با توجه به مجموعه داده­ها است. که بتواند بسته های عادی را از غیر عادی تشخیص دهد. .نوآوری اصلی در پایان­نامه، استفاده از الگوریتم­های مدل کاهل و مدل قانون­محور است که تاکنون برای سیستم­های تشخیص­نفوذ استفاده نشده است. همچنین استفاده از تمام الگوریتم­های مجود در روش­های دسته­بندی است که در نرم افزار WEKA و Rapidminer موجود است. و پیشنهاد ۵ نمونه داده که از داده اولیه استخراج شده و برای مدل­های مختلف و الگوریتم­ها بهترین جواب را می­دهد. استخراج ۵ نمونه داده وقت بسیار زیادی به خود اختصاص داده وهمه الگوریتم­های مختلف موجود در مدل­های دسته­بندی با مجموعه داده­های مختلف شبیه­سازی و اجرا شدند که در نهایت ۵ نمونه داده اولیه پیشنهاد نموده­ایم.

در این بخش قصد داریم مهمترین الگوریتم­ها و مدل­های داده­کاوی را بررسی کنیم. بسیاری از محصولات تجاری داده­کاوی از مجموعه از این الگوریتم ها استفاده می­کنند و معمولا هر کدام آنها در یک بخش خاص قدرت دارند و برای استفاده از یکی از آنها باید بررسی های لازم در جهت انتخاب متناسب­ترین محصول توسط گروه متخصص در نظر گرفته شود.نکته مهم دیگر این است که در بین این الگوریتم ها و مدل ها ، بهترین وجود ندارد و با توجه به داده­ها و کارایی مورد نظر باید مدل انتخاب گردد.

۲-۲-۱ شبکه­های عصبی[۱]

هر شبکه عصبی شامل یک لایه ورودی[۲]می­باشد که هر گره در این لایه معادل یکی از متغیر­های پیش­بینی می­باشد. گره­های موجود در لایه میانی به تعدادی گره در لایه نهان[۳]وصل می­شوند. هر گره ورودی به همه گره­های لایه نهان وصل می­شود.

گره­های موجود در لایه نهان می­توانند به گره­های یک لایه نهان دیگر وصل شوند یا می­توانند به لایه خروجی[۴]وصل شوند.

لایه خروجی شامل یک یا چند متغیر خروجی می باشد

هر یال که بین نود هایX,Y می­باشد دارای یک وزن است که با Wx,y  نمایش داده می­شود. این وزن ها در محاسبات لایه­های میانی استفاده می­شوند و طرز استفاده آنها به این صورت است که هر نود در لایه­های میانی (لایه­های غیر از لایه اول) دارای چند ورودی از چند یال مختلف می­باشد که همانطور که گفته شد هر کدام یک وزن خاص دارند.

هر نود لایه میانی میزان هر ورودی را در وزن یال مربوطه آن ضرب می­کند و حاصل این ضرب­ها را با هم جمع می­کند و سپس یک تابع از پیش تعیین شده (تابع فعال­سازی) روی این حاصل اعمال می­کند و نتیجه را به عنوان خروجی به نودهای لایه بعد می­دهد.

وزن یال­ها پارامترهای ناشناخته­ای هستند که توسط تابع آموزش [۵]و داده­های آموزشی که به سیستم داده می­شود تعیین می­گردند.

تعداد گره­ها و تعداد لایه­های نهان و نحوه وصل شدن گره­ها به یکدیگر معماری(توپولوژی) شبکه عصبی را مشخص می­کند.کاربر یا نرم افزاری که شبکه­عصبی را طراحی می­کند باید تعداد گره­ها ، تعداد لایه­های نهان ، تابع فعال­سازی و محدودیت­های مربوط به وزن یال­ها را مشخص کند[۳].

^[۱]Neural  Networks

^[۲]Input Layer

^[۳]Hidden Layer

^[۴]Output Layer

^[۵]Training method