基于MDATA模型的网络攻击检测.pdfVIP

摘要

自互联网诞生以来，网络攻击持续对用户和各种组织构成威胁。随着各类科

技技术的突飞猛进，网络攻击的手段也日益升级。网络攻击者通常会执行多个入

侵步骤达到他们的最终目标，这样可以规避安全设备的检测和防御机制。所以复

杂网络攻击的检测方法应运而生，即在网络中关联攻击行为用于检测和识别多个

步骤组成的网络攻击行为，但是现有的复杂攻击检测方法还没有很好的利用攻击

行为最直观的时空特征来进行检测，同时，误报漏报的存在也会影响复杂攻击的

检测与分析，因此本文研究基于MDATA模型的复杂攻击表示方法来利用时空特

征并减少误报漏报对复杂攻击检测的影响。

首先，本文提出了基于MDATA模型的复杂攻击表示方法。此方法将复杂攻

击规则通过MDATA模型进行表示，基于一种管理所有不同IDS告警设备产生的

告警的体系——BA体系构建了的MDATA图谱来表征攻击的时空特征。该方法

对要分析的IDS数据提供标准化处理方式和关联方法并构建MDATA图谱知识库，

为进一步的攻击检测提供了分析基础。

其次，本文将基于MDATA模型的复杂攻击表示方法应用于告警关联来进行

复杂攻击的检测减少误报漏报的影响。本文将多源异构的IDS数据通过归一化和

聚合映射到统一体系，来解决单个IDS设备由于策略造成的漏报问题，通过告警

的描述、IP、时间戳等特征完成告警的去重，并使用基于MDATA模型的复杂攻

击检测方法，克服了传统告警关联分析过程易受大量冗余、误报影响的缺点，通

过弱连通分支和MDATA图谱的相似度计算完成攻击发现和攻击关联，可以有效

地检测可能存在的攻击行为，在准确性、检测速度等方面较传统方法都有所提升。

最后，设计并实现了基于MDATA模型的复杂攻击检测的原型系统。该攻击

检测系统可以将多源异构的IDS数据聚合、去重并构建对应的MDATA模型，通

过使用基于MDATA模型的复杂攻击检测方法，能够有效地完成并展示攻击检测

过程。

关键词：MDATA，网络攻击检测，IDS，告警关联，图卷积

ABSTRACT

SincetheinceptionoftheInternet,cyberattackshavecontinuedtoposeathreatto

usersandvariousorganizations.Withtherapidadvancementofvarioustechnological

techniques,themeansofcyberattackshaveescalated.Cyberattackersusuallyperform

multipleintrusionstepstoreachtheirfinalgoal,whichcancircumventthedetectionand

defensemechanismsofsecuritydevices.Therefore,thedetectionmethodofcomplex

networkattackcomesintobeing,i.e.,correlatingtheattackbehaviorsinthenetworkis

usedtodetectandidentifythenetworkattackbehaviorsconsistingofmultiplesteps,but

theexistingmethodsfordetectingcomplexattackshavenotyetmadegooduseofthe

mostintuitivespatio-temporalcharacteristicsoftheattackbehaviorstodetectthem,and

atthesametime,theexistenceoffalsealarmsandomissionsalsoaffectsthedetecting

andanalyzingofthecomplexattacks,sothisthesisresea