基于多源告警的攻击事件分析

• 作者: 吕世超 张驯 朱小琴 李方军 杨凡 王淳颖 袁晖 赵博 赵金雄
• 来源期刊: 计算机应用
• 学科: 工学
• 关键词: 多源告警 告警聚类 关联规则 序列模式挖掘 多阶段攻击事件
• 年，卷（期）: 2020,（1）
• 所属期刊栏目: 网络空间安全
• 页码范围: 123-128
• 页数: 6页
• 分类号: TP393
• 字数: 7452字
• 语种: 中文
• DOI: 10.11772/j.issn.1001-9081.2019071229

摘要

为解决多源告警中的复杂攻击难以被发现的问题,提出一种攻击序列模式挖掘算法.利用正则表达式匹配告警,将多源告警规范化为统一格式.对冗余告警信息进行压缩,利用强关联规则训练得到的规则集聚合同一阶段的告警,有效去除冗余告警,精简告警数量.利用滑动窗口对聚合后的告警进行划分得到候选攻击事件数据集,通过改进的PrefixSpan算法挖掘得到多阶段攻击事件的攻击序列模式.实验结果表明,该算法在不依赖专家知识的前提下,能够准确并高效地分析告警相关性,还原攻击事件中的攻击步骤.相比传统PrefixSpan算法,提出的改进算法的攻击模式挖掘效率提升了48.05％.