大规模网络安全态势分析中的报警关联规则挖掘要点.docxVIP

大规模网络安全态势分析中的报警关联规则挖掘 全国网络与信息安全技术研讨会’,8007 大规模网络安全态势分析中的报警关联规则挖掘 孙艺峻，张宏莉，何慧 (哈尔滨工业大学国家计算机信息内容安全重点实验室，黑龙江哈尔滨150001) 摘要： 针对大规模网络安全态势分析中报警关联的需要，提出了海量报警日志的多维关联规则挖掘算法MFP-growth，制定了一种有利于理解安全事件的关联规则模板，能够在最小支持度较低时，完成大规模报警日志的挖掘任务；并进行了报警的时间序列规则挖掘，发现复杂攻击事件中的攻击模式。实验证明，该文中方法能够有效实现大规模网络报警日志的关联挖掘，并对整体网络安全趋势分析提供可靠依据。 关键词： 报警关联；多维关联规则；MFP．growth算法；序列规则 Mining Alert Association Rules in Large．scale Network Security Situation Analysis SUN Yi-jun，ZHANG Hong·li，He Hui (National Computer Iaformation Content Security Key Laboratory,Harbin Institute ofTechnology,Harbin 150001．China) Abstract：On denmnd of alerts association in large-scale network security situation analysis．the paper proposed MFP-growth algorithm mining multi—dimensional association rules in large—scale network security event alerts，adopted all association rule template in favor of understanding the security events；as a result,mining task in large-scale event alerts could be done in a fairly low minilnunl support．11砖paper also included sequential rules mining of event alerts．finding network attack paRems in complicated security events．Experiment results show that methods in this paper can accomplish association mining in large-scale network security event alerts efficiently，offering a reliable basis to the whole network secudty situation analysis． key words：alerts association；multi-dimensional association rules；MFP·growth algorithm；sequential rules 1引言 大规模网络安全态势分析是掌握宏观网络安全状态的必要手段，其中大规模报警日志的关联分析是网络安全态势分析的重要环节。基于关联规则挖掘的报警关联分析，可以自动的发现大范围网络安全事件报警的特征、发现复杂攻击模式，是一种智能性较强的解决方案。由于报警日志数目庞大，当最小置信度设置较小时，采用传统的关联规则挖掘算法必然导致频繁项集和关联规则数目的急剧膨胀，甚至超出系统瓶颈；而当最小置信度设置较大时，则会漏掉出现频率虽小但较有价值的规则。如何设置最小置信度，完成对大规模海量报警日志的关联挖掘，筛选出较有价值的规则，是一项非常有实际意义的工作。 本文根据大规模网络安全态势分析需要，提出了一种有利于理解安全事件的关联规则模板，并将其嵌入到关联规则挖掘过程中，有效地降低生成频繁项集和关联规则的数目，并在最小置信度设置很低时，也能完成对较大规模报警日志的关联挖掘；同时，还进行了序列模式的挖掘来发现大规模分布式网络环 境下复杂攻击事件中的攻击模式。本文的结构如下：第2节介绍相关研究工作；第3节描述大规模报警日志的关联规则挖掘；第4节是实验结果和分析；第5节是结论。 2相关研究工作 国外的一些学者近几年对报警关联做了相应的研究。Peng Ning等提出了一种基于先决条件的报警关联方法。攻击者的一次入侵通常通过一系列的攻击行为来完成，前面的行为所产生的结果，是后面行为执