![](https://csdnimg.cn/release/download_crawler_static/18219759/bg1.jpg)
收稿日期:20141119;修回日期:20141229 基金项目:国家自然科学基金资助项目(61431008,61562004);高等学校博士学科点专
项科研基金资助项目(20130073130006);广西自然科学基金资助项目(2013GXNSFBA019274);广西高等学校高水平创新团队及卓越学者计划资助
项目;广西高校科研项目(2013YB214)
作者简介:朱丽娜(1981),女,安徽 淮北人,副教 授,博士 (后),主 要研究 方向为 入侵检 测与网 络安全 态势评 估(zhulina81@gmail.com);
张作昌(1976),男,讲师,硕士,主要研究方向为信息系统与信息安全.
基于因果关系的分层报警关联研究
朱丽娜
1,2a
,张作昌
2b
(1.上海交通大学 信息安全工程学院,上海 200240;2.广西财经学院 a.信息与统计学院;b.管理科学与工程
学院,南宁 530003)
摘 要:入侵检测系统产生海量报警数据,造成报警关联时间长、关联结果结构复杂、难以理解。针对上述问
题,提出一种基于因果关系的分层报警关联模型。该模型先根据攻击目标聚类报警,在因果关系的指导下以单
步攻击作为节点构建主机层攻击路径,定义单步攻击相似度和攻击模式相似度,通过拓扑排序合并主机层攻击
路径的相似节点得到攻击模式,计算攻击模式相似度实现预警,并以受害主机作为节点从空间上构建更高层面
的网络层攻击场景。实验表明,分层关联结果结构简洁,有助于识别攻击策略、指导安全响应,而且先聚类后关
联的方法能够有效提高报警关联效率。
关键词:报警关联;报警聚类;因果关系;攻击模式;单步攻击相似度;攻击模式相似度
中图分类号:TP393.08 文献标志码:A 文章编号:10013695(2016)03084803
doi:10.3969/j.issn.10013695.2016.03.047
Researchonhierarchicalalertscorrelationbasedoncausality
ZhuLina
1,2a
,ZhangZuochang
2b
(1.CollegeofInformationSecurity, ShanghaiJiaoTongUniversity, Shanghai200240, China;2.a.SchoolofInformation& Statistics,
b.SchoolofManagementScience&Engineering,GuangxiUniversityofFinance&Economics,Nanning530003,China)
Abstract:Intrusiondetectionsystemsgenerateagreatdealofalarmdata,causingalertscorrelationtimeconsumingandcorre
lationresultstoocomplicatedtounderstand.Tosolvetheseproblems,thispaperdevelopedahierarchicalalertscorrelation
modelbasedoncausality.Firstly,itclassifiedalertsaccordingtoattacktarget’sIPaddress,andperformedcausalcorrelationto
reconstructattackpathstakingsinglestepattackasnode.Itdefinedthesimilarityofsinglestepattackandsimilarityofattack
patterns,adoptedtopologicalsortingtomergesimilarnodestoabstractattackpattern.Anditcalculatedthesimilarityofattack
patternstopredictthreat.Finally,itspatiallycorrelatedattackscenariosatahigherleveltakingvictimasnode.Experimental
resultsshowthatthestructureofhierarchicalcorrelationresultsissimple,whichhelpstoidentifyattackstrategyandguidese
curityresponse.Moreover
,clusteringbeforecorrelationisclearlyefficient.
Keywords:alertscorrelation;alertsaggregation;causality;attackpattern;similarityofsinglestepattack;similarityof
attackpatterns
入侵检测是一种积极主动的安全防护技术,通过收集、分
析计算机网络或计算机系统中若干关键点信息,检查是否存在
违反安全策略的行为和被攻击的迹象。由于网络环境复杂、入
侵特征粒度不易确定、存在基率悖论(
baseratefallacy)现象
[1]
等,导致入侵检测系统误报率高、报警冗余、报警语义弱。
针对上述问题,研究人员提出入侵检测报警关联技术,期
望通过分析报警事件之间的逻辑关系减少报警数量、构建攻击
场景、识别深层次的攻击规划,并最终指导安全响应。
!
相关研究
报警关联算法大致可分为基于属性相似度的关联、基于先
验知识的关联和基于统计分析的关联三类。Valdes等人
[2]
扩
展了多传感器数据融合的相关概念,定义了报警属性相似度函
数,报警相似度由属性相似度加权求和得到,并把满足最小匹
配准则的相似报警抽象为元报警。Julisch
[3]
提出以树的形式
组织先验知识,用最短路径衡量报警属性的相异程度,报警相
异度等于所有属性相异度之和,相异度小于阈值的报警被聚为
一类,认为成因相同。郭帆等人
[4]
使用 IDMEF格式描述原始
报警,基于分类和属性相似度把重复报警聚合为超报警。基于
属性相似度的关联算法通过计算关键属性值的相似程度聚类
报警信息,运行效率高,但关联结果不能体现攻击步骤之间的
逻辑关系,而且相似度标准、权重系数等不易确定。
Ning等
人
[5,6]
定义了超报警类型,使用一阶逻辑描述攻击产生先决条
件和后果,通过匹配单步攻击的先决条件和后果实现两两关
联;AlMamory等人
[7]
把攻击场景和因果关系定义在 ACF(属
性上下文无关)语法中,将报警作为节点,使用修改后的
LR解
析器生成表示攻击场景的语法树。吕慧颖等人
[8]
定义了前提
状态和后继状态、紧前事件和紧后事件,基于威胁状态转移图
挖掘威胁事件的时空关联关系,进而评估网络威胁。基于先验
知识的关联算法需要预先建立知识库,存放攻击发生的条件和
后果、攻击序列模板等,通过搜索匹配构建攻击场景,先验知识
第 33卷第 3期
2016年 3月
计 算 机 应 用 研 究
ApplicationResearchofComputers
Vol33No3
Mar.2016