基于貝葉斯網絡的因果告警相關方法研究.pdf

1、隨著近年來網絡的普及，網絡攻擊和非法訪問飛速增長，網絡安全的形勢日益嚴峻。應運而生的入侵檢測被認為是計算機和網絡的第二道防線，對降低網絡入侵的風險，防范未經授權訪問系統(tǒng)的資源和數據有重要的意義。遺憾的是，入侵檢測系統(tǒng)在提高安全系數的同時也產生了海量的初級告警數據(其中絕大部分是假告警)，不便于用戶理解告警的含義并采取恰當的措旌。因此，通過應用告警相關方法開發(fā)入侵檢測系統(tǒng)的協作模塊，通過分析關聯告警產生清晰的攻擊過程描述，通過生成綜合告警

2、來減少假告警的數量提高檢測效率非常必要。 本文首先對入侵檢測技術和告警相關技術進行基本介紹，接著系統(tǒng)的闡述了目前國內外的研究現狀。在分析了當前告警相關方法的利弊后，作者提出一種解決方案，通過構建貝葉斯網絡模型，用概率化方法相關告警，對檢測器產生的原始告警進行預處理。然后通過因果相關方法對前面生成的告警再次相關，并輸出能清晰反映攻擊過程的相關告警圖。 本文著重介紹了貝葉斯網絡技術和因果相關方法的設計與實現。該系統(tǒng)由兩部分組

3、成：告警之間的橫向相關?；谪惾~斯網絡的告警預處理，將告警之間屬性的相似特征作為關聯告警的重要參數，新告警通過與中間告警的特征匹配來決定屬于哪一告警類別，這樣，綜合特征上基本相似的初級告警將合并成數量較原來大幅度減少的高級告警；告警之間的縱向相關。告警通常都不是孤立的，從邏輯上考慮，這些告警之間往往有著前因后果的聯系，即前面進行的攻擊活動為后面的入侵作必要的準備，因此，我們定義超級告警來表示這一邏輯關系，通過知識庫中超級告警類型匹配將其