基于聚类和报警先决条件的网络入侵关联分析

分析了聚类算法和报警先决条件关联方法，在二者的基础上提出了一种基于聚类和报警先决条件的网络入侵关联分析模型。使用DARPA 2000数据的测试结果表明，提出的模型可对报警信息进行有效预处理。与仅用报警先决条件关联方法相比，成功排除了3个错误报警关联，有效提高了关联效果。     

入侵检测系统中分层报警处理模型的研究*

针对入侵检测系统中报警泛滥的问题,提出了一种分层的报警数据处理模型,在不同层次对报警数据进行了过滤、归约、融合和关联。在过滤阶段,建立了知识库对误警进行了消除;在归约阶段,设计了归约算法,可以实时消除报警中的重复信息;在融合阶段,设计了一种基于聚类的融合算法,可以实时消除报警中的相似信息;在关联阶段,首先用频繁片段算法对训练数据进行了分析,发现其中的入侵模式,然后再以这些模式建立知识库,为基于聚类的关联算法提供攻击的相似信息以发现入侵模式。通过上述处理,减少了报警中的错误信息和无用信息,减轻了系统和管理员     

入侵检测系统报警信息关联分析模型的设计与实现

入侵检测系统报警信息的关联分析技术,对解决目前入侵检测系统所存在的误报、漏报、报警信息层次低和难管理等问题,具有十分重要的意义。本文综合了目前所提出的几种关联分析方法,建立了一个入侵检测系统关联分析模型,该模型将关联分析过程划分为三个层次：聚类、融合和因果关联,可以对不同入侵检测系统产生的报警信息进行关联分析。     

基于因果关系的分层报警关联研究

入侵检测系统产生海量报警数据,造成报警关联时间长,关联结果结构复杂,难以理解。针对上述问题,提出一种基于因果关系的分层报警关联模型。该模型先根据攻击目标聚类报警,在因果关系的指导下以单步攻击作为节点构建主机层攻击路径,定义单步攻击相似度和攻击模式相似度,通过拓扑排序合并主机层攻击路径的相似节点得到攻击模式,计算攻击模式相似度实现预警,并以受害主机作为节点从空间上构建更高层面的网络层攻击场景。实验表明,分层关联结果结构简洁,有助于识别攻击策略、指导安全响应,而且先聚类后关联的方法能够有效提高报警关联效率。     

加权最近邻聚类在SOC中的应用

本文对网络安全管理中心（SOC）的报警技术进行了研究,提出了一种具有权值的最近邻算法的聚类方法,对经过初步过滤、规范化后的报警信息与知识库中已有规则进行聚类,获取真正的攻击事件并完成攻击场景的重构,对报警信息进一步进行关联分析提供了有力保障。通过测试及应用表明,本文所应用的方法在可用性、灵活性、获取攻击事件的准确性以及处理效率上要优于其它方法。     

多步攻击告警关联模型构建与实现

为精简入侵检测系统产生的大量报警信息和分析攻击者的目的和动机,提出了新的报警信息关联模型。该模型通过事件关联把具有相似关系的报警信息关联后存储为元报警,然后根据报警类型知识库转换为超报警,最后根据超报警之间的因果关系进行攻击关联,构建出攻击关联图。实验表明,该模型提高了报警处理效率,对识别攻击意图和提高报警准确性有较好的效果。     

基于智能卡和指纹识别的电子报税认证系统

针对目前报警信息关联技术中存在的问题，提出了基于入侵意图的报警信息关联分析技术。该技术不仅继承了基于入侵策略的报警信息关联分析方法所具有的时效性、预见性强等优点，而且提高了入侵策略模型的泛化能力，并通过建立“跳步”分析机制，提高了系统对入侵的理解能力。     

一种基于警报数据关联的入侵检测系统模型

入侵检测是保障网络安全的重要手段。对入侵检测系统产生的警报信息进行关联分析已经成为改善入侵检测系统检测性能的一个重要的、实际可行的手段。本文提出了一种分布式入侵检测警报数据关联模型,模型通过警报数据聚类和高层事件关联消除或减少重复警报,降低误警率,发现高层攻击策略。最后给出了警报聚类关联实现算法,该算法通过警报数据相似度的计算来实现警报聚类。     

城市轨道交通设备故障聚类与贝叶斯网络预警

针对城市轨道交通的海量监控报警数据分析难度大的问题,结合设备故障特征,应用数据挖掘方法定义聚类特征树,建立基于故障集的层次聚类分析模型,取得故障要素的高频聚类并识别关联规则。通过构建故障贝叶斯层次网络,提出故障预警模型,计算取值概率推断预警值,进一步探讨了关联性预警的识别和应用策略。采用某城市轨道交通的阶段报警数据实例验证,表明识别出的故障关联规则与实际较好地符合,利用该方法推断故障预警能快速定位风险隐患,为安全管理提供有效的决策支持。     

基于关联函数的动态聚类算法及应用

根据时序立体数据的特点,提出了基于关联函数一致性矩阵的动态聚类算法。给出了适用于时序立体数据关联函数的改进标准关联函数计算公式,并将该算法应用于乙烯裂解炉报警系统,结合流程的时序立体数据,得到了裂解炉报警系统的动态聚类分类结果,并验证了提出算法的有效性。本文算法对于时序数据的聚类具有较强的鲁棒性。     

基于概率模糊认知图的入侵检测警报融合机制

提出了一种新型主从式警报融合机制，该机制依据一定的规划，在时间方向上对重复报警进行压缩；在空间方向上借助概率模糊认知图的表达、推理能力，对来自多个检测器的报警进行融合。理论分析和实验信真均表明；该机制能有效地降低虚警和减少重复报警。     

基于IDMEF和分类的报警聚合

如何聚合来自不同IDS的报警以减少重复报警是分布式IDS研究的重要问题。设计了一种入侵检测消息交换格式(IDMEF)报警消息格式规范,通过对IDMEF数据模型中的Alert类扩展而成,可统一描述不同IDS上报的报警信息。为有效聚合IDMEF报警,对基于分类和相似度的原始报警聚合算法进行了改进,并在Snort平台上实现了报警聚合模块原型和IDMEF报警生成模块原型。在DARPA99数据集上的实验结果证明了该方案的有效性。     

A logic-based model to support alert correlation in intrusion detection

Managing and supervising security in large networks has become a challenging task, as new threats and flaws are being discovered on a daily basis. This requires an in depth and up-to-date knowledge of the context in which security-related events occur. Several tools have been proposed to support security operators in this task, each of which focuses on some specific aspects of the monitoring. Many alarm fusion and correlation approaches have also been investigated. However, most of these approaches suffer from two major drawbacks. First, they only take advantage of the information found in alerts, which is not sufficient to achieve the goals of alert correlation, that is to say to reduce the overall amount of alerts, while enhancing their semantics. Second, these techniques have been designed on an ad hoc basis and lack a shared data model that would allow them to reason about events in a cooperative way. In this paper, we propose a federative data model for security systems to query and assert knowledge about security incidents and the context in which they occur. This model constitutes a consistent and formal ground to represent information that is required to reason about complementary evidences, in order to confirm or invalidate alerts raised by intrusion detection systems.     

网络入侵报警信息实时融合处理模型

针对分布式入侵检测和网络安全预警所需要解决的问题,对多传感器数据融合技术进行了研究。在分析IDS警报信息之间的各种复杂关系的基础上,提出了一个警报信息实时融合处理模型,并根据该模型建立警报信息融合处理系统。实时融合来自多异构IDS传感器的警报信息,形成关于入侵事件的攻击序列图,在此基础上进行威胁评估及攻击预测。该模型拓展了漏报推断功能,以减少漏报警带来的影响,使得到的攻击场景更为完整。实验结果表明,根据该模型建立的融合处理系统应用效果好,具有很高的准确率和警报缩减率。     

警报信息实时融合处理技术研究与实现

针对分布式入侵检测和网络安全预警所需要解决的问题,对多传感器数据融合技术进行了研究.在分析IDS警报信息之间各种复杂关系的基础上,提出了一个警报信息实时融合处理模型,并根据该模型建立警报信息融合处理系统.实时融合来自多异构IDS传感器的警报信息,形成关于入侵事件的攻击序列图,并在此基础上进行威胁评估及攻击预测.该模型中...     

防网络攻击警报信息实时融合处理技术研究与实现

针对分布式入侵检测和网络安全预警所需要解决的问题,文章对多传感器数据融合技术进行了研究.在分析IDS警报信息之间的各种复杂关系的基础上,提出了一个警报信息实时融合处理模型,并根据该模型建立警报信息融合处理系统.实时融合来自多异构IDS传感器的警报信息,形成关于入侵事件的攻击序列图,并在此基础上进行威胁评估及攻击预测.该模型中拓展了漏报推断功能,以减少漏报警带来的影响,使得到的攻击场景更为完整.实验结果表明,根据该模型建立的融合处理系统应用效果好,具有很高的准确率和警报缩减率.     

基于序列分析的报警综合处理研究

针对入侵检测系统的报警数量多的问题,文章详细介绍了怎样用序列分析的方法处理入侵检测系统的报警数据,使之只产生能反映入侵重要特征的报警。简要介绍了序列分析的方法,说明了报警分析算法,对报警进行了分类。给出了基于序列分析的报警分析模型,它包括两个代理:学习代理和检测代理。最后针对报警数据进行了仿真试验,并说明了将来的研究计划。     

Managing communication networks by monitoring databases

The problem of managing large communication networks using statistical tests, alerts, and correlation among alerts is considered. The authors propose a model of these network management functions as data-manipulation operations. They argue that this approach can improve the flexibility of network management systems by providing a language that is declarative and set-oriented. These are properties of existing data-manipulation languages and it is shown that any data-manipulation language, augmented with several new capabilities, can serve as a language for specifying the aforementioned network management functions. The new capabilities required are specification of events, correlation among events, and change-tracking     

基于攻击意图的报警信息关联研究

当前的入侵检测系统往往只提供给安全管理员大量低级的报警信息,分析这些报警信息极大地加重了安全管理员的负担,并且使得一系列相互关联的重要报警信息常常被淹没在大量不重要的报警信息中,因此迫切需要对于低级的报警信息进行进一步的关联,建立较为高层的攻击场景.本文提出了一个基于攻击意图的报警关联的模型,使用报警信息所对应的攻击行为的目的即攻击意图构建攻击场景.该模型先把入侵检测系统产生的报警信息转化为相应的攻击意图,再根据预先建立的攻击场景对这些攻击意图进行关联,从而实现了报警信息关联.