基于推理机的网络安全事件关联分析技术的研究与实现

论文摘要

网络安全管理中普遍采用的NIDS存在报警信息量大、误报率、漏报率偏高等问题,通常采用关联分析方法来解决。而以往关联分析系统效率低,无法处理海量报警信息,所以本文提出了一种基于推理机的网络安全事件关联分析方法,利用推理机高效的匹配算法来提高效率。通过对比实验,证明了此方法不仅可以有效降低NIDS的误报、漏报率,产生较为准确的报警信息,而且可以减少系统反应时间,从而为网络管理人员提供及时可靠的判断依据。本文在深入分析了相关的入侵检测技术、关联分析技术、人工智能知识表示的基础上,对基于推理机的网络安全事件关联分析技术做了研究,主要工作概述如下:1、针对网络安全监测中数据格式复杂不一,形式多样的问题,提出了统一的知识表示方法;2、针对普通关联分析方法无法处理海量网络安全事件的问题,提出了基于推理机的关联分析方法,从而达到了实时处理事件的目的;3、为了解决drools推理机规则库的一致性问题,论文设计并实现了基于ossim规则库的规则自动转换机,理论上该推理机可以将任何符合格式的XML规则自动转换为drools推理机能识别的规则形式;4、在理论方法上提出了提高drools推理机效率的办法,可以更加提高推理机的性能;5、基于上述的研究基础,在网络安全态势分析与预测系统YH-SOC中实现了上述工作,并通过对比实验进行了验证。

论文目录

• 摘要
• ABSTRACT
• 第一章 绪论
• 1.1 研究背景及意义
• 1.1.1 研究背景
• 1.1.2 研究意义
• 1.2 论文研究的主要内容
• 1.3 论文的组织结构
• 第二章 国内外研究现状
• 2.1 入侵检测系统简介
• 2.1.1 入侵检测的定义
• 2.1.2 入侵检测的模型
• 2.1.3 入侵检测的分类
• 2.1.4 入侵检测的发展方向
• 2.2 关联分析技术
• 2.3 知识表示概述
• 2.3.1 知识表示的现状
• 2.3.2 知识表示的方法
• 2.4 Drools 推理机简介
• 2.5 本章小结
• 第三章 基于推理机的网络安全事件关联分析系统设计
• 3.1 基于drools 推理机的知识表示方法
• 3.1.1 一种改进的产生式规则表示法
• 3.1.2 事件表示
• 3.1.3 规则表示
• 3.1.4 攻击场景表示
• 3.2 网络安全事件事实库的采集
• 3.2.1 网络安全事件采集与归一化
• 3.2.2 基于过滤器的网络安全事件关联
• 3.3 网络安全事件关联规则的采集与组织
• 3.3.1 关联规则基本概念
• 3.3.2 推理机的规则库采集
• 3.3.3 推理机的规则库组织
• 3.4 基于推理机的网络安全事件关联分析
• 3.4.1 关联分析方法
• 3.4.2 基于推理机的网络安全事件攻击场景描述
• 3.4.3 基于推理机的网络安全事件关联分析过程
• 3.5 drools 推理机性能提高方法
• 3.5.1 分组设计
• 3.5.2 推理机算法改进
• 3.6 本章小结
• 第四章 网络安全事件关联分析技术实现
• 4.1 YHSOC 系统简介
• 4.1.1 系统概述
• 4.1.2 研究内容在YHSOC 中的地位和作用
• 4.2 关联分析技术实现
• 4.3 基于0ssim 规则库的规则自动转换机实现
• 4.3.1 自动转换机类图
• 4.3.2 自动转换机流程图
• 4.4 本章小结
• 第五章 实验设计与结果分析
• 5.1 实验环境
• 5.2 测试结果
• 第六章 总结和展望
• 6.1 本文总结
• 6.2 下一步研究
• 致谢
• 参考文献
• 作者在学期间取得的学术成果