安全事件關聯(lián)分析引擎的研究與設計.pdf

1、隨著網(wǎng)絡安全的發(fā)展,單純的被動的靜態(tài)安全防御策略已經(jīng)無法滿足現(xiàn)實需要.人們開始采用動態(tài)安全防御的思想來進行安全防護,入侵檢測系統(tǒng)是動態(tài)安全防御里的重要環(huán)節(jié).但是,現(xiàn)有的入侵檢測系統(tǒng)(IDS)存在一個致使的缺陷:誤報率高居不下,事件之間缺乏關聯(lián),遭受的IDS無法展現(xiàn)事件之間的邏輯關系,結果用戶很難了解事件背后隱藏的攻擊策略或邏輯步驟.因此,在實際應用中,不僅大量的誤報混雜在正確的警報中,同時警報本身由于數(shù)目太大,沒有明確的邏輯關系,很難管

2、理.這些缺陷嚴重影響了IDS的應用.為了解決IDS存在的上述問題,該文在深入分析入侵技術的基礎上提出了一個基于入侵序列的啟發(fā)式關聯(lián)方法.如,如果前一次攻擊階段的結果是下一次攻擊成功的前提條件之一,那么這兩次攻擊是關聯(lián)的,是同一系列攻擊中的兩個步驟.入侵序列的啟發(fā)式關聯(lián)方法的核心是入侵步驟的確定,該文對如何系統(tǒng)定義入侵步驟進行了討論,包括根據(jù)攻擊階段的結果進行的攻擊類型分類、攻擊集的確定、攻擊階段的分解等.論文根據(jù)該事件關聯(lián)分析方法設計并

3、實現(xiàn)了一個事件關聯(lián)分析引擎 ,并利用實驗驗證了它的有效性.事件關聯(lián)分析引擎有4個優(yōu)點和特點:首先,可以有效減少誤報的數(shù)目,有利于系統(tǒng)管理員更快地發(fā)現(xiàn)攻擊;其次,可以展現(xiàn)事件之間的邏輯關系;三第,可以有效減少需要用戶關注的警報數(shù)目,使用戶可以更輕松地管理和分析警報;第四,可以揭示黑客入侵的一系列步驟,有利于發(fā)現(xiàn)他的入侵策略,方便系統(tǒng)管理員進行針對性的應急措施.事件關聯(lián)分析引警可以作為現(xiàn)有的IDS產(chǎn)品的輔助分析工具,幫助用戶快速理解攻擊事件