一种基于关联分析和HMM的网络安全态势评估方法

当前大部分基于隐马尔科夫（HMM）的网络安全态势的评估方法都集中于对HMM参数的研究,而忽视了观测值的选取对评估准确度的影响。本文在告警信息聚合的基础上,以攻击模式作为关联依据,结合网络资产的脆弱性信息,识别主机所处受攻击阶段并转化为主机的威胁等级,以威胁等级作为HMM的观测值,最后利用HMM实现对主机和网络的安全态势评估。基于DARPA2000测试数据集的相关实验表明,相比一般的HMM方法,本文方法能体现攻击的多步骤特点,且能更加准确地反映网络态势的变化。