基于告警因果關(guān)系和概率統(tǒng)計的攻擊場景重建方法的研究.pdf

1、入侵檢測系統(tǒng)（Intrusion Detection System，縮寫為IDS）作為近年來迅速發(fā)展的網(wǎng)絡(luò)安全設(shè)備，擴展了管理員在監(jiān)視、審計、攻擊識別和響應(yīng)等方面的安全管理能力。然而，IDS的工作原理、所處的網(wǎng)絡(luò)層次和性能問題決定了其所獲取和分析信息的局限性，在實際應(yīng)用中暴露出一些問題：1) IDS給出的告警大多是低級和孤立的，無法傳達(dá)告警之間可能存在的某種聯(lián)系；2)海量繁雜的告警信息難以人為管理；3) IDS主要采用異常檢測或誤用檢測

2、方法，它們都容易產(chǎn)生漏報或誤報。
　　由于以上問題的存在，研究者已開始通過挖掘攻擊事件之間的關(guān)聯(lián)關(guān)系來提高檢測信息的準(zhǔn)確性和可用性。通過對告警事件的關(guān)聯(lián)分析，能夠重建入侵者的攻擊場景，目前效果較好的方法為因果關(guān)聯(lián)分析。因果關(guān)聯(lián)方法基于入侵行為所需的攻擊前提和造成的攻擊結(jié)果，將告警按因果關(guān)系關(guān)聯(lián)起來形成攻擊場景圖。然而，因果關(guān)聯(lián)非常依賴于完善的專家級知識庫信息，而且受漏報和誤報告警影響很大，另外算法復(fù)雜度也較高。傳統(tǒng)概率關(guān)聯(lián)也是一種

3、典型的關(guān)聯(lián)方法，它的優(yōu)點是簡單易行，一般不受先驗知識的約束，也能夠發(fā)現(xiàn)一些新的攻擊，然而概率評估函數(shù)定義困難，而且它不能完全揭示告警之間真正的內(nèi)在聯(lián)系，可擴展性不強。
　　攻擊者在實施攻擊時往往采用多種手段或多個步驟才能達(dá)到其目的，本文根據(jù)一般多步攻擊的特征，提出一種混合的基于因果關(guān)聯(lián)和概率關(guān)聯(lián)的攻擊場景重建模型。該模型主要包括三個部分：告警融合、告警分類因果關(guān)聯(lián)和告警概率關(guān)聯(lián)。告警融合作為告警關(guān)聯(lián)前的預(yù)處理模塊，可以消除IDS原

4、始告警中的冗余條目；告警分類因果關(guān)聯(lián)是將告警根據(jù)攻擊目標(biāo)作分類分析，然后在每個類中作告警因果關(guān)聯(lián)，這樣先分類再關(guān)聯(lián)可以有效改善純因果關(guān)聯(lián)性能，而且根據(jù)每個類中的關(guān)聯(lián)結(jié)果還可以去除無效告警；告警概率關(guān)聯(lián)處于分類因果關(guān)聯(lián)之后，在類與類之間做概率關(guān)聯(lián)，用概率關(guān)聯(lián)彌補因果關(guān)聯(lián)的缺陷。
　　通過實驗驗證和分析發(fā)現(xiàn)，本文提出的混合的攻擊場景重建模型具有一定的優(yōu)越性和實用性，它可以降低因果關(guān)聯(lián)對知識庫的依賴，解決因知識庫不完善和IDS漏報導(dǎo)致的