基于多維告警的攻擊目的識別系統(tǒng)研究與實現(xiàn).pdf

1、隨著互聯(lián)網(wǎng)的迅速發(fā)展，網(wǎng)絡(luò)安全問題越來越受到人們的重視。入侵檢測系統(tǒng)與響應(yīng)決策系統(tǒng)是目前網(wǎng)絡(luò)安全領(lǐng)域研究的熱點，而攻擊目的識別系統(tǒng)作為銜接以上兩者的橋梁在網(wǎng)絡(luò)防御體系中起著舉足輕重的作用。攻擊目的識別系統(tǒng)是一種利用入侵檢測告警作為源證據(jù)，對其進(jìn)行一系列的分析從而推斷出攻擊者的攻擊目的的智能系統(tǒng)。 研究發(fā)現(xiàn)現(xiàn)今攻擊目的識別系統(tǒng)普遍存在以下兩點不足： （1）未能考慮IDS漏報、誤報現(xiàn)象，即未考慮告警可信度問題。 （2）在

2、進(jìn)行目的識別的過程中無法識別具有多種可能目的的攻擊并計算出每個目的的可能性。 針對以上不足本文提出了基于多維告警的攻擊目的識別系統(tǒng)。該系統(tǒng)首次引入了系統(tǒng)狀態(tài)變化告警作為另一源證據(jù)，結(jié)合IDS告警對攻擊者攻擊目的進(jìn)行預(yù)測識別。由于系統(tǒng)狀態(tài)變化與攻擊行為步驟之間存在著一定的因果關(guān)系，而貝葉斯網(wǎng)絡(luò)是一種基于因果關(guān)系的可信度網(wǎng)絡(luò)(Belief Networks)，因此我們將其引入目的識別系統(tǒng)，在進(jìn)行目的識別之前先對源告警信息的可信度進(jìn)行

3、一定的評判，補足漏報告警、去除誤報告警之后再將這些可信度較高的攻擊模型輸入后續(xù)系統(tǒng)進(jìn)行目的識別。 本文所設(shè)計的目的識別算法是通過逐步比較攻擊行為步驟實現(xiàn)的?？紤]到目的識別過程中要能夠識別多個可能攻擊目的并給出每個目的的可能性，我們自行定義了一個匹配規(guī)則以及一套識別算法。該算法不但可以根據(jù)當(dāng)前的告警場景識別多個可能的攻擊目的，而且系統(tǒng)管理員還可以通過設(shè)置匹配規(guī)則中匹配閾值的大小，來控制最終輸出結(jié)果集中可能攻擊目的的數(shù)量。因此不難看