入侵检测系统报警信息融合模型的设计与实现.docxVIP

第 8 期郑挺等 : 入侵检测系统报警信息融合模型的设计与实现?95?入侵检测系统报警信息融合模型的设计与实现*郑挺, 胡华平( 国 防科学 技术 大学 计 算机 学院 , 湖南 长 沙 410073)摘要 : 开 展入 侵检 测系 统报 警信 息融 合技 术的研 究 , 对 解 决 目前 入 侵 检测 系 统 ( IDS) 存 在的 误 报、漏报 、报 警信息 难管 理、报警 信息 层次 低等 问题 , 以 及提 高网络 预 警能 力 等 均 具有 十 分 重 要 的 意 义。 首 先 分析 了 目 前 入 侵检测 系统 存在 的问题 , 提出 了进 行报警 信息 融合 的必 要性 , 最 后提 出 并 实 现了 一 个 入 侵 检 测 系 统报 警 信 息 融 合的可 视化 模型 。关键 词 : 入 侵检 测 ( IDS) ; 报 警信 息融 合 ; 网络预 警 ; 关联中图 法分 类号 : TP393. 08文献 标识 码 : A文 章编 号 : 1001- 3695( 2004) 08- 0095- 04Design and Implementation of Intrusion DetectionSystem Alerts Fusion ModelZHENG Ting, HU Hua- ping( School of Computer Science, National University of Defense Technology, Changsha Hunan 410073, China)Abstract: It is very important to study the technologies of IDS ( Intrusion Detection System) alerts fusion, which can resolvethe problems of current IDS, such as false positive, false negative, management hardly, creating alerts in low level, and it canincrease network warning ability. Some problems in current IDS and necessity of doing alerts fusion are presented. An IDS alertsfusion visible model is presented, which provides solid base for passing check and acceptance successfully.Key words: Intrusion Detection System ( IDS) ; Alerts Fusion; Network Warning; Correlation1引言率和漏报率 ; 精简报警信息 , 将 入侵攻 击的策 略和过 程这些 更高 层 次 的 安 全 信 息 以 一 种 可视 化 的 方 式 提 供 给 安 全 管 理员 , 并对 入 侵 检 测 系 统 的 研 究 始 于 20 世 纪 80 年 代 , 至 今 已 20多年 了 , 然 而 入侵 检 测 技 术 的 发 展 与 期 望 的目 标 相 差 甚 远 。 目前的 入 侵 检 测 系 统 仍 面 临 一 些难 题 :( 1) 缺 乏 对 于 攻 击 的 精 确 描 述 能 力 是 现 有 的 IDS 产 生 误报与 漏 报 的 主 要 原 因 之 一 。 现 有 的 一 些 攻 击 描 述 方 法 不 严 密导致 对 攻 击 的 描 述 有 可 能 覆 盖某 些 正 常 的 网 络 行 为 , 而 且 根 据这些 攻 击 描 述 不 能 检 测 出 新 的攻 击 或 已 知 攻 击 的 变 种 , 从 而 引起漏 报 和 误 报 。( 2) 相 关 攻 击 可能 产 生 大 量 相 关 报 警 信 息 , 但 目 前 IDS 无预测出下一步可能的攻击 , 以便管 理员及 时采取 措施 , 终止 正在 进 行 的 和 即 将 发 生 的 攻 击。 对 报 警 信 息 进 行 融 合 分 析 已 成为 入 侵 检 测 领 域 的 一 个 发 展方 向 。 目 前 , 报 警 融 合 的 方 法 主 要有以下三种 :( 1) 基 于 相 似 概 率 的 报 警 融 合 [ 1] 。 此 方 法 是 基 于 报 警 信息之间相似度的 , 虽然该 方法在 融合某 些报警 信息时 很有效 ,但 是 相 似 度 的 衡 量 及 取 值 比较 困 难 , 不 能完 全 揭 示 相 关 报 警