浅论入侵检测响应系统事件关联的研究

《浅论入侵检测响应系统事件关联的研究》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、哈尔滨理工大学硕士学位论文入侵检测响应系统事件关联的研究姓名：刘威申请学位级别：硕士专业：计算机应用技术指导教师：张凤斌20080301哈尔滨理T入学下学倾}j学位论文入侵检测响应系统事件关联的研究摘要入侵检测系统已经能够用各种检测方法来检测入侵，但是，大多数的入侵响应系统只是形成同志或报警来通知系统管理员，滞后的人工响应造成了不可恢复的严重损失。入侵检测系统迫切需要自动响应，一旦发生入侵，系统能采取适当的措施及时抵御面临的威胁。本论文在对相关研究领域己有工作进行总结的基础上，提出了一种自动入侵响应系统

2、的通用框架。入侵响应系统以入侵检测系统输出的安全事件作为输入。由于入侵检测系统的局限，它检测出的事件与攻击的发生存在多对一的关系，因此本义研究了冗余消除问题，它对n向应系统的输入进行预处理，对每次攻击仅产生一个事件，从而避免响应系统做出多余的响应。本文对冗余事件的关联特征进行系统的分析，包括攻击类型关联特征、空IH关联特征、时问关联特征。对于空间火联特征，本文采取枚举的方法进行分析；对于时间关联特征，本文通过对大量的攻击实例进行分析，提出了相对均方筹模型来刻画其特征。在提取这些关联特征的摹Ii：

3、{上，

4、本文使用翠于舰则的方法捕述每种可能的冗余情况，并提出了莽。]：实H’j．聚类的冗余消除算法，楸拂}了‘余消除胤则集，实时接收安全事件进行冗余消除。入侵意图识别的主要目的是实现警报关联和对复合攻击的预警。本文提出的入侵意图识别算法基于复合攻击的步骤问主要存在因果逻辑关系的特点，提出基于因果关系关联警报以进行意图识别。该意图识别算法具有算法复杂度较低和易于计算环境参数等优点。对冗余消除算法的测试和分析表明，该算法能够有效地消除原始安全事件流中的冗余，对高速网络中一周安全事件分析显示冗余消除程度达lO倍以上。

5、实验证明事件关联算法具有较强的事件关联能力，一定的意图识别能力，数据基于DARPA的两个测试数据集。关键词入侵响应；因果关联；复合攻击；实时聚类哈尔滨理T人学T学硕f：-7-"位论文ResearchonEventsCorrelationofIntusionResponseSystemAbstractIntrusiondetectionsystems(IDSs)havereachedahighlevelofsophisticationandareabletodetectintrusionswithavar

6、ietyofmethods．Unfortunately，themajorityofIntrusionresponsesystems(IRSs)reacttoattacksbygeneratingreportsoralarms．Theslowresponsetomultipleattacksmayendupwithseriousdamagesbeyondrecovery．ManualresponsetocomputerattacksiSinadequateby1tself．Automaticrespons

7、esystemshavetotakeoverthattask．Incaseofanidentifiedintrusion，thesecomponentshavetoinitiateappropriateactionstocounteremergingthreats．Basedonthesummaryofrelatedstudies，thisthesispresentsacommonframeworkfortheAutomaticIntrusionResponseSystem．TheIRStakeseve

8、ntsfromIDSasinput．Foritsinherentlimitation，aIDSmaygeneratemultipleeventsforasingleattack．Thuswestudiedtheproblemofredudanceelimination，whichpreprocessestheinputbymergingredundanteventsSOastopreventIRSfromtakingunnecessaryresponses．Thispaperfirstmadeasyst

9、ematicanalysisofthecorrelationfeaturesbetweentheredundantevents，includingattackclassconstraint，specialconstraint，timingconstraint．Forspecialconstraint，weenumerateallpossibilitiesofattacks；whilefortimingconstraint．weuserela