基于多維告警的攻擊目的識(shí)別系統(tǒng)研究與實(shí)現(xiàn).pdf

1、隨著互聯(lián)網(wǎng)的迅速發(fā)展，網(wǎng)絡(luò)安全問題越來越受到人們的重視。入侵檢測(cè)系統(tǒng)與響應(yīng)決策系統(tǒng)是目前網(wǎng)絡(luò)安全領(lǐng)域研究的熱點(diǎn)，而攻擊目的識(shí)別系統(tǒng)作為銜接以上兩者的橋梁在網(wǎng)絡(luò)防御體系中起著舉足輕重的作用。攻擊目的識(shí)別系統(tǒng)是一種利用入侵檢測(cè)告警作為源證據(jù)，對(duì)其進(jìn)行一系列的分析從而推斷出攻擊者的攻擊目的的智能系統(tǒng)。 研究發(fā)現(xiàn)現(xiàn)今攻擊目的識(shí)別系統(tǒng)普遍存在以下兩點(diǎn)不足： （1）未能考慮IDS漏報(bào)、誤報(bào)現(xiàn)象，即未考慮告警可信度問題。 （2）在

2、進(jìn)行目的識(shí)別的過程中無法識(shí)別具有多種可能目的的攻擊并計(jì)算出每個(gè)目的的可能性。 針對(duì)以上不足本文提出了基于多維告警的攻擊目的識(shí)別系統(tǒng)。該系統(tǒng)首次引入了系統(tǒng)狀態(tài)變化告警作為另一源證據(jù)，結(jié)合IDS告警對(duì)攻擊者攻擊目的進(jìn)行預(yù)測(cè)識(shí)別。由于系統(tǒng)狀態(tài)變化與攻擊行為步驟之間存在著一定的因果關(guān)系，而貝葉斯網(wǎng)絡(luò)是一種基于因果關(guān)系的可信度網(wǎng)絡(luò)(Belief Networks)，因此我們將其引入目的識(shí)別系統(tǒng)，在進(jìn)行目的識(shí)別之前先對(duì)源告警信息的可信度進(jìn)行

3、一定的評(píng)判，補(bǔ)足漏報(bào)告警、去除誤報(bào)告警之后再將這些可信度較高的攻擊模型輸入后續(xù)系統(tǒng)進(jìn)行目的識(shí)別。 本文所設(shè)計(jì)的目的識(shí)別算法是通過逐步比較攻擊行為步驟實(shí)現(xiàn)的?？紤]到目的識(shí)別過程中要能夠識(shí)別多個(gè)可能攻擊目的并給出每個(gè)目的的可能性，我們自行定義了一個(gè)匹配規(guī)則以及一套識(shí)別算法。該算法不但可以根據(jù)當(dāng)前的告警場(chǎng)景識(shí)別多個(gè)可能的攻擊目的，而且系統(tǒng)管理員還可以通過設(shè)置匹配規(guī)則中匹配閾值的大小，來控制最終輸出結(jié)果集中可能攻擊目的的數(shù)量。因此不難看