一个基于复合攻击路径图的报警关联算法

作者：刘志杰; 王崇骏

来源：南京大学学报(自然科学版), 2010, (01): 56-63.

• 入侵检测
• 报警关联
• 攻击场景
• 复合入侵 intrusion detection
• alert correlation
• attack scenarios
• multi-step attack

入侵检测系统作为保护计算机系统安全的重要手段其应用越来越广泛,然而随之产生的大量原始报警事件也带来了新的问题:数量巨大、误报警多、重复报警多,影响了对入侵检测系统的有效利用.针对此问题,警报关联技术成为网络安全研究的一个热点问题,研究者尝试对低级的报警信息进行关联,从而达到降低误报率的目的.本文提出一个基于复合攻击路径图的报警关联算法,使用报警信息在攻击中所处的攻击阶段并将其关联起来构建攻击场景从而达到揭示隐藏在大量攻击事件背后的入侵真实意图.该模型先对报警信息进行预处理,匹配到知识库中对应的攻击阶段,然后再将攻击链接起来,根据攻击路径图的权值计算对应主机的受威胁程度,并决定是否报警.该模型可...

• 单位
  计算机软件新技术国家重点实验室; 南京大学