基于自扩展时间窗的告警多级聚合与关联方法

• 作者: 吴晓平 李洪成
• 来源期刊: 工程科学与技术
• 学科: 工学
• 关键词: 攻击检测 告警聚合 自扩展时间窗口 多级划分 马尔可夫模型
• 年，卷（期）: 2017,（1）
• 所属期刊栏目: 第十届中国可信计算与信息安全学术会议(CTCIS 2016)推
• 页码范围: 206-212
• 页数: 7页
• 分类号: TP309.7
• 字数: 5023字
• 语种: 中文
• DOI: 10.15961/j.jsuese.2017.01.027

摘要

针对传统告警聚合与关联方法在合理性和准确性上的不足,提出了基于多级划分思想的告警聚合方法和基于马尔可夫链模型的告警关联方法.首先,使用入侵检测消息交换格式来描述网络告警,利用告警的时序接近关系进行时间窗口的自动扩展,将时间间隔小于预设阈值的告警划分到同一个时间窗内;进而,分别根据攻击类型、时间窗口、子网掩码、IP地址和端口信息依次划分告警,利用属性匹配方法进行子网级、主机级和服务级聚合,有效聚合攻击者利用同一路由器、傀儡主机或服务端口实施攻击而产生的相似告警;在此基础上,利用1阶马尔可夫链模型生成告警关联图,将攻击类型间的条件转移概率作为关联图的有向边,并利用告警的时序紧邻关系计算出攻击类型间的转移概率.实验中,利用入侵检测系统Snort的最严格模式处理DARPA2000流量数据,得到LL-DoS1.0攻击场景所对应的入侵告警集合;利用本文方法对集合中的5类告警进行聚合和关联,通过参数寻优得到自扩展时间窗口最理想的间隔阂值,使得告警多级聚合结果能够有效精简告警,并与告警源IP和源端口的分布情况一致;通过比较告警关联结果与攻击场景的官方描述来计算告警关联的准确率.与传统方法进行对比,本文方法的告警关联准确率为97.94％,比传统方法提高了2.29％.

作者信息

序号	姓名	单位	发文数	被引次数	H指数	G指数
1	吴晓平	海军工程大学信息安全系	210	1963	22.0	33.0
2	李洪成	海军工程大学信息安全系	16	170	7.0	12.0