探析入侵检测中的事件关联研究及实现

《探析入侵检测中的事件关联研究及实现》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、华中科技大学硕士学位论文入侵检测中的事件关联研究及实现姓名：尹宏斌申请学位级别：硕士专业：计算机系统结构指导教师：陈晓苏2003.5.10华中科技大学硕士学位论文摘要／随赘攻密者知识的臼趋丰富，攻击手段的蜀趋复杂多样，各种系统、软件安全漏洞的不断如现，单纯的被动式静态安全防御策略已经无法满足目益增长的安全需要乒／入侵检测技术是在“防火墙”、“加密”、“赛份认{正”等传统安全傈护搔施基础之上gl入的新一代安全防护技术，是动态两络安全模型P2DR中的重要组成都分。／在对现有常觅网络攻击方法和攻击行为充分分析的基础之上发现，每一

2、次成功的攻击并不是单单依赖于一两个特定的攻击方法，恧是一组攻击方法的组合，这种缎合是以预定的时序和逻辑关系为基础的。指出了当前太部分l龉系统存在的缺陷，突出了事俘关联在入侵检测中的重要意义。≯—／。说明了入侵检测中事件关联的槽关概念，并根据致击行为特征将攻击事件间的关系分为冤余关系和因果关系两类。要做到侠速有效的攻击事件关联。首先要对捡澳4到的攻击拳件作清楚、明确的描述，为诧设计了～个用)(】唾L语言实现的攻遗事馋模型，并采用逻辑断言的形式来描述该事件模型所刻画的系统安全状态。基于顼绘事{牛模型，一个完整的事件关联可划分为

3、四个基本步骤，即事件拣准化、事件聚合、事转整合和攻击预测。详细论述了其中关键步骤所采用的事件关联策略和方法。作为分布式入侵检测系统DIDS的一个重要功能子系统，事件关联分析系统ECAS是搴{孛关联策略和方法的具体实现。对ECAS的体系结构、功能部件和数据库设计等主要实现技术徽了详细的论述。f实验结栗表明，集成了事件关联分析系统的DIDS可以有效减少提交的警报数量，降低系统虚警率，突出了警报关键词：入侵稔预岭行为模式关鸭华中科技大学硕士学位论文AbstractA10ngwiththegradualenrichmentofat

4、tackknowledge，thegradualdiversificationofattackmethodsandtheunceasingemergenceofsecurityvulnerabilities，passivestaticsecuritypolicyalonecannolongersatisfytheincreasingsecurityrequirements．Beinganimportantpartofdynamicnetworksecuritymodelp2DR．theintrusiondetectioni

5、sanewsecuritytechnologybasedontraditiona]securitypoliciessuchasfirewall，encryption，identityauthenticationandsoon．ThroughdetailedanalysistoconiInonnetworkattackmethodsandattackbehaviors，wehasdiscoveredthatasuccessfulattackdependsonthecombinationofattackmethodsrathe

6、rthanasinglemethod．Thecombinationisbasedonscheduledtimeandlogicrelations．ThispaperpointsoutthelimitationswithinmostofcurrentIDSandhighlightsthesignificanceofeventcorrelation．Afterexplainingeventcorrelation’Srelatedconceptintheintrusiondetectionfield，therelationshi

7、psamongattackeventsaredividedintotwokinds，redundancyrelationshipandcausalrelationship，accordingtothefeaturesofattackbehaviors．Tomaketheeventcorrelationquickandefficient，anattackeventmodelisusedtomakeaclearandcorrectdescriptionoftheattackeventsandcanberealizedbyXML

8、．Themodelportrayssystemsecuritystatewhichisdescribedbythelogicofpredicate．Basedonthismodel，thepaperdivideseventcorrelationintofourbasicsteps：eventstanda