基于貝葉斯網(wǎng)絡的因果告警相關方法研究.pdf

1、隨著近年來網(wǎng)絡的普及，網(wǎng)絡攻擊和非法訪問飛速增長，網(wǎng)絡安全的形勢日益嚴峻。應運而生的入侵檢測被認為是計算機和網(wǎng)絡的第二道防線，對降低網(wǎng)絡入侵的風險，防范未經(jīng)授權訪問系統(tǒng)的資源和數(shù)據(jù)有重要的意義。遺憾的是，入侵檢測系統(tǒng)在提高安全系數(shù)的同時也產(chǎn)生了海量的初級告警數(shù)據(jù)(其中絕大部分是假告警)，不便于用戶理解告警的含義并采取恰當?shù)拇腱?。因此，通過應用告警相關方法開發(fā)入侵檢測系統(tǒng)的協(xié)作模塊，通過分析關聯(lián)告警產(chǎn)生清晰的攻擊過程描述，通過生成綜合告警

2、來減少假告警的數(shù)量提高檢測效率非常必要。 本文首先對入侵檢測技術和告警相關技術進行基本介紹，接著系統(tǒng)的闡述了目前國內外的研究現(xiàn)狀。在分析了當前告警相關方法的利弊后，作者提出一種解決方案，通過構建貝葉斯網(wǎng)絡模型，用概率化方法相關告警，對檢測器產(chǎn)生的原始告警進行預處理。然后通過因果相關方法對前面生成的告警再次相關，并輸出能清晰反映攻擊過程的相關告警圖。 本文著重介紹了貝葉斯網(wǎng)絡技術和因果相關方法的設計與實現(xiàn)。該系統(tǒng)由兩部分組

3、成：告警之間的橫向相關?；谪惾~斯網(wǎng)絡的告警預處理，將告警之間屬性的相似特征作為關聯(lián)告警的重要參數(shù)，新告警通過與中間告警的特征匹配來決定屬于哪一告警類別，這樣，綜合特征上基本相似的初級告警將合并成數(shù)量較原來大幅度減少的高級告警；告警之間的縱向相關。告警通常都不是孤立的，從邏輯上考慮，這些告警之間往往有著前因后果的聯(lián)系，即前面進行的攻擊活動為后面的入侵作必要的準備，因此，我們定義超級告警來表示這一邏輯關系，通過知識庫中超級告警類型匹配將其