一种基于信息熵的IDS告警预处理方法

• 作者: 平源 张羽 申国伟 郭春
• 来源期刊: 计算机与现代化
• 学科: 工学
• 关键词: 入侵检测系统 误告去除 告警聚合 互雷尼信息熵 聚类
• 年，卷（期）: 2020,（5）
• 所属期刊栏目: 信息安全
• 页码范围: 111-119
• 页数: 9页
• 分类号: TP393.08
• 字数: 8929字
• 语种: 中文
• DOI: 10.3969/j.issn.1006-2475.2020.05.019

摘要

针对目前入侵检测系统存在的海量重复告警、误报率偏高、告警质量低下等问题,提出一种基于信息熵的IDS告警预处理方法,用于减少误告警,聚合相似告警,生成代表单步攻击意图的超告警.首先,对IDS告警进行特征提取,用告警密度、告警周期值、源IP对应的目的IP数与攻击源威胁度这4个特征的信息熵融合结果表示一条告警所具有的特征信息量.通过与误告警的特征向量进行互雷尼信息熵的计算,从而识别出误告,并且去除误告.然后对误告去除后的告警按照IP对应关系,划分为2类:一种源IP对应一种目的IP的告警以及一种源IP对应多种目的IP的告警.分别对2类告警进行特征统计,构造5维特征信息熵向量,采用DBSCAN算法将信息量相同或者相似的告警进行聚类.最后对各个类别的告警进行动态时间窗口划分,并构建出代表单步攻击意图的超告警.实验结果表明,基于信息熵的告警预处理方法误告去除率为87.43％,告警聚合率达到98.63％,具有较好的误告去除效果以及较高的告警聚合率.

作者信息

序号	姓名	单位	发文数	被引次数	H指数	G指数
1	平源	许昌学院信息工程学院	19	178	6.0	13.0
2	申国伟	贵州大学计算机科学与技术学院	10	12	2.0	3.0
4	郭春	贵州大学计算机科学与技术学院	17	27	3.0	5.0
8	张羽	贵州大学计算机科学与技术学院	4	1	1.0	1.0