基于告警因果關(guān)系和概率統(tǒng)計(jì)的攻擊場(chǎng)景重建方法的研究.pdf

1、入侵檢測(cè)系統(tǒng)（Intrusion Detection System，縮寫(xiě)為IDS）作為近年來(lái)迅速發(fā)展的網(wǎng)絡(luò)安全設(shè)備，擴(kuò)展了管理員在監(jiān)視、審計(jì)、攻擊識(shí)別和響應(yīng)等方面的安全管理能力。然而，IDS的工作原理、所處的網(wǎng)絡(luò)層次和性能問(wèn)題決定了其所獲取和分析信息的局限性，在實(shí)際應(yīng)用中暴露出一些問(wèn)題：1) IDS給出的告警大多是低級(jí)和孤立的，無(wú)法傳達(dá)告警之間可能存在的某種聯(lián)系；2)海量繁雜的告警信息難以人為管理；3) IDS主要采用異常檢測(cè)或誤用檢測(cè)

2、方法，它們都容易產(chǎn)生漏報(bào)或誤報(bào)。
　　由于以上問(wèn)題的存在，研究者已開(kāi)始通過(guò)挖掘攻擊事件之間的關(guān)聯(lián)關(guān)系來(lái)提高檢測(cè)信息的準(zhǔn)確性和可用性。通過(guò)對(duì)告警事件的關(guān)聯(lián)分析，能夠重建入侵者的攻擊場(chǎng)景，目前效果較好的方法為因果關(guān)聯(lián)分析。因果關(guān)聯(lián)方法基于入侵行為所需的攻擊前提和造成的攻擊結(jié)果，將告警按因果關(guān)系關(guān)聯(lián)起來(lái)形成攻擊場(chǎng)景圖。然而，因果關(guān)聯(lián)非常依賴(lài)于完善的專(zhuān)家級(jí)知識(shí)庫(kù)信息，而且受漏報(bào)和誤報(bào)告警影響很大，另外算法復(fù)雜度也較高。傳統(tǒng)概率關(guān)聯(lián)也是一種

3、典型的關(guān)聯(lián)方法，它的優(yōu)點(diǎn)是簡(jiǎn)單易行，一般不受先驗(yàn)知識(shí)的約束，也能夠發(fā)現(xiàn)一些新的攻擊，然而概率評(píng)估函數(shù)定義困難，而且它不能完全揭示告警之間真正的內(nèi)在聯(lián)系，可擴(kuò)展性不強(qiáng)。
　　攻擊者在實(shí)施攻擊時(shí)往往采用多種手段或多個(gè)步驟才能達(dá)到其目的，本文根據(jù)一般多步攻擊的特征，提出一種混合的基于因果關(guān)聯(lián)和概率關(guān)聯(lián)的攻擊場(chǎng)景重建模型。該模型主要包括三個(gè)部分：告警融合、告警分類(lèi)因果關(guān)聯(lián)和告警概率關(guān)聯(lián)。告警融合作為告警關(guān)聯(lián)前的預(yù)處理模塊，可以消除IDS原

4、始告警中的冗余條目；告警分類(lèi)因果關(guān)聯(lián)是將告警根據(jù)攻擊目標(biāo)作分類(lèi)分析，然后在每個(gè)類(lèi)中作告警因果關(guān)聯(lián)，這樣先分類(lèi)再關(guān)聯(lián)可以有效改善純因果關(guān)聯(lián)性能，而且根據(jù)每個(gè)類(lèi)中的關(guān)聯(lián)結(jié)果還可以去除無(wú)效告警；告警概率關(guān)聯(lián)處于分類(lèi)因果關(guān)聯(lián)之后，在類(lèi)與類(lèi)之間做概率關(guān)聯(lián)，用概率關(guān)聯(lián)彌補(bǔ)因果關(guān)聯(lián)的缺陷。
　　通過(guò)實(shí)驗(yàn)驗(yàn)證和分析發(fā)現(xiàn)，本文提出的混合的攻擊場(chǎng)景重建模型具有一定的優(yōu)越性和實(shí)用性，它可以降低因果關(guān)聯(lián)對(duì)知識(shí)庫(kù)的依賴(lài)，解決因知識(shí)庫(kù)不完善和IDS漏報(bào)導(dǎo)致的