资源描述：
《基于搜索树的告警高效聚类算法和Bayes 分类器的设计和研究.pdf》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。
1、计算机科学$%%"+,-.##/.!*#）基于搜索树的告警高效聚类算法和!"#$%分类器的设计和研究’，#’，#’，$’，$肖*政*王建新*侯紫峰*韦*卫’$#（中科院计算所*北京’%%%!%）*（联想研究院）*（中国科学院研究生院）*摘*要*如何从012等安全产品每天产生的海量告警和日志中挖掘出有价值的信息，帮助管理员找到那些真正具有威胁的攻击，然后采取措施，有效地保护系统安全，这是入侵检测系统急待解决的问题。本文利用搜索树可以减少搜索空间和覆盖向量的特点提出了基于搜索树的高效告警聚类算法；考虑到把新来的告警事件归类到先前通过聚类得到的类中，让其与其他的告警事件可以关联起来，提出了
2、基于贝叶斯事件分类器的告警分类方法。最后使用311456’7771898的数据进行了性能测试。实验测试结果表明，此算法和方法是快速有效的。在原型系统“多信息源智能化安全强审计系统”中的实际应用也展现了其良好的应用前景。关键词*告警关联，贝叶斯分类器，搜索树算法，聚类*&$%’()")*+$%$",-./0")12$,3425%3$,’)(12(/,’3.6!"%$*/)7$",-.8,$$")*")12$,342"%%’0’$*9$3./*!"%$*/)!"#$%’")42"%%’0’$,’，#’，#’，$’，$:0&;<=>?@*A&BCDE8?F:E?@*G;H?@，A
3、J0A>E’（0?K9E959>,L4,M659E?@2NE>?N>，4&2，O>EPE?@’%%%!)）$#（0?L,F2>N5QE9RS8TU,LS>@>?V4,Q6,Q89>,LWX1）*（C24&2）*1:%3,"-3*G,Y9,>LL>N9EZ>-RLE?V,59Z8-58T->8T?,QM8-T>=8ZE,QKLQ,M9=>?5M>Q,5K8-8QMK8?V-,@K6Q,V5N>VTR8--[E?VK,LK>N5QE9R6Q,V5N9K>Z>QRV8R，8--,L9=>MM5K9T>8?8-R>V8?V9=>9Q5>8?V?,?FQ>V5?V8?9E?L,QM89E,?
4、K=,5-VT>>]9Q8N9>V，Y=EN=EK=>-6L5-9,LE?V9=>Q>8-6Q,T->M8?V9=>?N,QQ>N9E?@8N9E,?KN8?T>98[>?9,6Q,9>N99=>K8L>9R,LKRK9>MU^=EKEK,?>,L9=>TE@@>K9N=8-->?@>KY=EN=012EKL8NE?@U0?9=EK686>Q，98[E?@E?9,8NN,5?9K>8QN=9Q>>Y=EN=N8?V>NQ>8K>K>8QN=E?@K68N>8?V,Z>Q-8RZ>N9,Q，8?8->Q9N-5K9>QE?@8-@,QE9=MT8K>V,?K>8QN=9Q>>EK6Q>
5、K>?9>VU2,8K9,N-8KKELR?>Y8->Q98?VN8?=8Z>N,QQ>-89E,?YE9=,9=>Q8->Q9，8?8->Q9N-8KKELE>VM>9=,VT8K>V,?O8R>KE8?N-8KKELE>QEK>M6=89EN8--R6Q,6,K>VU&9-8K9，311456’7771898EK5K>V9,>Z8-589>9=>6>QL,QM8?N>,L8-@,QE9=M，8?V9=>>]6>QEM>?9Q>K5-9KK=,Y9=>=E@=>LLENE>?NR,L9=>8-@,QE9=MU^=>866-EN89E,?K,L9=>M9,_5-9EFE?L,QM89
6、E,?FK,5QN>E?9>--E@>?9E8-K>N5QE9R85VE9E?@KRK9>ME?VEN89>9=899=>RYE--=8Z>8@,,VL595Q>L,QEM6->M>?989E,?U;$#Q9N,QQ>-89E,?，O8R>KE8?N-8KKELE>Q，2>8QN=9Q>>8-@,QE9=M，4-5K9>QE?@*侵检测系统的日志，由用户建立（或分析系统本身具备）若干!"引言个相关的层次化树结构，且对于用户给定的阈值，在树结构中为防护针对计算机和网络的入侵，越来越广泛地采用入搜索一个适当层次“概念”，使得这个概念所覆盖的告警信息侵检测系统（012），
7、它已成为计算机安全技术的一个重要组在日志中出现的次数大于用户所给定的阈值，而且使得告警［’‘(］成部分。但因入侵检测技术尚未完全发展成熟，所以在信息之间的平均“距离”最小或近似最小。从这个过程可以实际使用中表现不尽如人意，其中最明显的就是警报信息重看出，这个方法把提供阈值的任务交给了用户，这对于本来就复、误报（将正常的行为当作攻击，进行报警）问题和漏报（没不是很了解日志的用户来说无疑是一个负担；另外，这个方法有对攻击行为进行报警）问题，给管理员从中找到那些
