入侵检测响应系统事件关联的研究

论文摘要

入侵检测系统已经能够用各种检测方法来检测入侵,但是,大多数的入侵响应系统只是形成日志或报警来通知系统管理员,滞后的人工响应造成了不可恢复的严重损失。入侵检测系统迫切需要自动响应,一旦发生入侵,系统能采取适当的措施及时抵御面临的威胁。本论文在对相关研究领域己有工作进行总结的基础上,提出了一种自动入侵响应系统的通用框架。入侵响应系统以入侵检测系统输出的安全事件作为输入。由于入侵检测系统的局限,它检测出的事件与攻击的发生存在多对一的关系,因此本文研究了冗余消除问题,它对响应系统的输入进行预处理,对每次攻击仅产生一个事件,从而避免响应系统做出多余的响应。本文对冗余事件的关联特征进行系统的分析,包括攻击类型关联特征、空间关联特征、时间关联特征。对于空间关联特征,本文采取枚举的方法进行分析;对于时间关联特征,本文通过对大量的攻击实例进行分析,提出了相对均方差模型来刻画其特征。在提取这些关联特征的基础上,本文使用基于规则的方法描述每种可能的冗余情况,并提出了基于实时聚类的冗余消除算法,根据冗余消除规则集,实时接收安全事件进行冗余消除。入侵意图识别的主要目的是实现警报关联和对复合攻击的预警。本文提出的入侵意图识别算法基于复合攻击的步骤间主要存在因果逻辑关系的特点,提出基于因果关系关联警报以进行意图识别。该意图识别算法具有算法复杂度较低和易于计算环境参数等优点。对冗余消除算法的测试和分析表明,该算法能够有效地消除原始安全事件流中的冗余,对高速网络中一周安全事件分析显示冗余消除程度达10倍以上。实验证明事件关联算法具有较强的事件关联能力,一定的意图识别能力,数据基于DARPA的两个测试数据集。

论文目录

• 摘要
• Abstract
• 第1章 绪论
• 1.1 引言
• 1.2 入侵检测技术发展状况
• 1.3 入侵响应
• 1.3.1 响应分类和响应决策
• 1.3.2 入侵意图识别技术及其发展状况
• 1.3.3 其他对入侵响应的研究
• 1.4 目前存在的问题
• 1.4.1 入侵检测问题分析
• 1.4.2 入侵响应问题分析
• 1.4.3 对现有工作的总结
• 1.5 本文研究工作的主要内容
• 1.5.1 课题来源
• 1.5.2 本文的主要工作
• 1.5.3 论文的组织结构
• 第2章 入侵响应系统的体系结构研究
• 2.1 入侵响应系统的总体结构
• 2.1.1 目前主要入侵检测体系结构分析
• 2.1.2 自动入侵响应系统体系结构需求分析
• 2.1.3 入侵响应系统的体系结构
• 2.2 对入侵检测系统输出原始事件预处理功能
• 2.3 事件关联功能
• 2.4 入侵意图识别功能
• 2.5 响应决策和执行功能
• 2.6 本章小结
• 第3章 入侵响应系统输入预处理
• 3.1 安全事件关联的研究背景
• 3.1.1 问题的提出
• 3.1.2 CITRA 的冗余事件消除方法
• 3.2 事件关联特征提取
• 3.2.1 攻击类型关联特征
• 3.2.2 空间关联特征
• 3.2.3 时间关联特征
• 3.3 冗余消除算法描述
• 3.3.1 冗余消除规则
• 3.3.2 算法流程
• 3.3.3 算法优化
• 3.4 本章小结
• 第4章 入侵意图识别模型
• 4.1 概述
• 4.2 入侵意图识别技术相关理论
• 4.3 复合攻击
• 4.3.1 复合攻击相关概念定义
• 4.3.2 复合攻击描述方式
• 4.3.3 复合攻击描述的相关定理证明
• 4.4 事件关联和入侵意图识别
• 4.4.1 事件关联及其算法
• 4.5 本章小结
• 第5章 算法的分析
• 5.1 冗余消除算法的分析
• 5.1.1 算法完备性分析
• 5.1.2 算法功能测试
• 5.2 事件关联算法的分析
• 5.2.1 事件关联能力试验
• 5.2.2 算法复杂性分析
• 5.3 本章小结
• 结论
• 参考文献
• 攻读学位期间发表的学术论文
• 致谢