網(wǎng)絡(luò)安全事件聚合與關(guān)聯(lián)分析技術(shù)研究.pdf

1、伴隨著計(jì)算機(jī)網(wǎng)絡(luò)的廣泛應(yīng)用以及信息技術(shù)的逐步提高,保障網(wǎng)絡(luò)信息系統(tǒng)的安全變得尤為重要。雖然人們?cè)鴩L試著使用入侵檢測(cè)系統(tǒng)和防火墻等技術(shù)來(lái)發(fā)現(xiàn)和抵御攻擊者的入侵行為,然而,目前的大部分安全設(shè)備不僅會(huì)產(chǎn)生海量的重復(fù)報(bào)警,同時(shí)也難以提供不同報(bào)警之間的相關(guān)性,而現(xiàn)有的報(bào)警聚合關(guān)聯(lián)分析技術(shù)又存在著準(zhǔn)確率以及效率方面偏低等缺陷,針對(duì)上述問(wèn)題,本文在國(guó)內(nèi)外有關(guān)報(bào)警聚合及關(guān)聯(lián)分析研究的基礎(chǔ)上,進(jìn)行了以下的創(chuàng)新工作:
　　 首先,本文選取網(wǎng)絡(luò)報(bào)警聚

2、合算法作為研究對(duì)象,提出了一種基于迭代自組織的報(bào)警聚合方法(Iterative Self-Organizing Data Analysis Techniques Algorithm,ISODATA)。ISODATA算法與K-均值算法有相似之處,即聚類(lèi)中心的位置同樣是通過(guò)樣本均值的迭代運(yùn)算決定。不同的是,這種算法在運(yùn)算的過(guò)程中聚類(lèi)中心的數(shù)目不是固定不變的,而是反復(fù)進(jìn)行修改。其實(shí)質(zhì)是用某種算法生成初始類(lèi)別作為“種子”,依據(jù)某個(gè)判別規(guī)則進(jìn)行自

3、動(dòng)迭代聚類(lèi)的過(guò)程。在兩次迭代過(guò)程之間對(duì)上一次迭代的聚類(lèi)結(jié)果進(jìn)行統(tǒng)計(jì)分析,根據(jù)統(tǒng)計(jì)參數(shù)對(duì)已有類(lèi)別進(jìn)行取消、分裂、合并處理,并繼續(xù)進(jìn)行下一次迭代,直至超過(guò)最大迭代次數(shù)或者達(dá)到分類(lèi)參數(shù)設(shè)定的閾值,進(jìn)而完成全部的分類(lèi)過(guò)程。最后通過(guò)實(shí)驗(yàn)驗(yàn)證了該聚合算法的可行性以及準(zhǔn)確性。
　　 此外,本文還在原有的因果關(guān)聯(lián)方法的基礎(chǔ)上,對(duì)其進(jìn)行了部分改進(jìn),提出了一種基于逆序的報(bào)警關(guān)聯(lián)方法。該方法首先根據(jù)各單步攻擊的攻擊意圖進(jìn)行分類(lèi),然后從攻擊意圖的最后一