基于貝葉斯網(wǎng)絡(luò)的因果告警相關(guān)方法研究.pdf

1、隨著近年來網(wǎng)絡(luò)的普及，網(wǎng)絡(luò)攻擊和非法訪問飛速增長(zhǎng)，網(wǎng)絡(luò)安全的形勢(shì)日益嚴(yán)峻。應(yīng)運(yùn)而生的入侵檢測(cè)被認(rèn)為是計(jì)算機(jī)和網(wǎng)絡(luò)的第二道防線，對(duì)降低網(wǎng)絡(luò)入侵的風(fēng)險(xiǎn)，防范未經(jīng)授權(quán)訪問系統(tǒng)的資源和數(shù)據(jù)有重要的意義。遺憾的是，入侵檢測(cè)系統(tǒng)在提高安全系數(shù)的同時(shí)也產(chǎn)生了海量的初級(jí)告警數(shù)據(jù)(其中絕大部分是假告警)，不便于用戶理解告警的含義并采取恰當(dāng)?shù)拇腱?。因此，通過應(yīng)用告警相關(guān)方法開發(fā)入侵檢測(cè)系統(tǒng)的協(xié)作模塊，通過分析關(guān)聯(lián)告警產(chǎn)生清晰的攻擊過程描述，通過生成綜合告警

2、來減少假告警的數(shù)量提高檢測(cè)效率非常必要。 本文首先對(duì)入侵檢測(cè)技術(shù)和告警相關(guān)技術(shù)進(jìn)行基本介紹，接著系統(tǒng)的闡述了目前國(guó)內(nèi)外的研究現(xiàn)狀。在分析了當(dāng)前告警相關(guān)方法的利弊后，作者提出一種解決方案，通過構(gòu)建貝葉斯網(wǎng)絡(luò)模型，用概率化方法相關(guān)告警，對(duì)檢測(cè)器產(chǎn)生的原始告警進(jìn)行預(yù)處理。然后通過因果相關(guān)方法對(duì)前面生成的告警再次相關(guān)，并輸出能清晰反映攻擊過程的相關(guān)告警圖。 本文著重介紹了貝葉斯網(wǎng)絡(luò)技術(shù)和因果相關(guān)方法的設(shè)計(jì)與實(shí)現(xiàn)。該系統(tǒng)由兩部分組

3、成：告警之間的橫向相關(guān)?；谪惾~斯網(wǎng)絡(luò)的告警預(yù)處理，將告警之間屬性的相似特征作為關(guān)聯(lián)告警的重要參數(shù)，新告警通過與中間告警的特征匹配來決定屬于哪一告警類別，這樣，綜合特征上基本相似的初級(jí)告警將合并成數(shù)量較原來大幅度減少的高級(jí)告警；告警之間的縱向相關(guān)。告警通常都不是孤立的，從邏輯上考慮，這些告警之間往往有著前因后果的聯(lián)系，即前面進(jìn)行的攻擊活動(dòng)為后面的入侵作必要的準(zhǔn)備，因此，我們定義超級(jí)告警來表示這一邏輯關(guān)系，通過知識(shí)庫(kù)中超級(jí)告警類型匹配將其