網(wǎng)絡(luò)安全事件關(guān)聯(lián)分析方法的研究與實(shí)現(xiàn).pdf

1、隨著Internet技術(shù)的高速發(fā)展，網(wǎng)絡(luò)安全問題變得越來越敏感和重要，攻擊者攻擊手段和技術(shù)的日益復(fù)雜化、更具隱蔽性和分布性等特點(diǎn)，使得對(duì)入侵意圖的識(shí)別變得困難。冗余的、無關(guān)緊要的告警數(shù)據(jù)的泛濫給系統(tǒng)管理員帶來了巨大的壓力和錯(cuò)覺，甚至是漠視告警。有效關(guān)聯(lián)技術(shù)和預(yù)警技術(shù)的缺乏導(dǎo)致攻擊的漏報(bào)或誤報(bào)，最終難于準(zhǔn)確定位攻擊意圖，從而不能及時(shí)給出相應(yīng)的對(duì)策，給系統(tǒng)帶來巨大的損失。 SATA(Security Alerts & Threat

2、Analysis)系統(tǒng)以網(wǎng)絡(luò)安全事件集中管理、降低入侵誤報(bào)率、準(zhǔn)確識(shí)別攻擊意圖為目標(biāo)，對(duì)多源安全工具產(chǎn)生的原始告警進(jìn)行收集和格式化，并送到服務(wù)器進(jìn)程進(jìn)行關(guān)聯(lián)分析。SATA系統(tǒng)是在對(duì)各種告警關(guān)聯(lián)技術(shù)進(jìn)行了深入研究的基礎(chǔ)上設(shè)計(jì)并實(shí)現(xiàn)的。研究?jī)?nèi)容主要包括：關(guān)聯(lián)分析系統(tǒng)層次結(jié)構(gòu)的提出；系統(tǒng)各功能模塊的實(shí)現(xiàn)；利用貝葉斯網(wǎng)絡(luò)的概率關(guān)聯(lián)算法事件嚴(yán)重度排序AlertRank的設(shè)計(jì)及其實(shí)驗(yàn)分析；基于規(guī)則庫的攻擊關(guān)聯(lián)算法的研究及實(shí)現(xiàn)。 系統(tǒng)的Age

3、nt功能模塊主要是對(duì)原始告警進(jìn)行采集和格式統(tǒng)一化。從不同的原始告警格式中抽取出我們需要的屬性，并且對(duì)相同的屬性使用相同的名字。告警格式的統(tǒng)一化為Server功能模塊對(duì)告警進(jìn)行存儲(chǔ)和關(guān)聯(lián)分析提供了保障。 安全事件嚴(yán)重度分析算法AlertRank，是一種特殊的交叉關(guān)聯(lián)方法，它把告警中包含的信息與真實(shí)網(wǎng)絡(luò)環(huán)境下的漏洞信息、網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)信息，以及系統(tǒng)的資產(chǎn)信息和安全策略進(jìn)行關(guān)聯(lián)，并運(yùn)用貝葉斯網(wǎng)絡(luò)的計(jì)算方法計(jì)算得到告警的威脅度值，從而得出