入侵检测系统中报警验证模块的设计与实现

传统入侵检测系统虽然可以根据特征匹配的方法检测出攻击企图,却无法验证攻击企图是否成功,生成的报警不仅数量巨大而且误警率很高。该文提出一种结合漏洞扫描工具对入侵检测系统生成的报警进行验证的方法,根据被攻击主机是否包含能使攻击成功的漏洞来判定攻击能否成功,对攻击的目标主机不存在对应漏洞的报警降低优先级,从而提高报警质量。说明了报警验证模型各部分的设计和实现方法,系统运行结果显示该方法能有效地压缩报警量,降低误警率,帮助管理员从大量数据中找到最应该关注的真实报警。     

进化模糊分类识别在IDS中的应用

应用进化编程自动产生若干条模糊规则以检测各种攻击。在计算机网络中,难于明确划分各种进攻的界限,因此在入侵检测系统中高误警率一直是一个主要的问题,然而利用模糊逻辑,能够有效降低误警率。同时规则的自动产生,也提高了系统的灵活性,降低了对本地网络的依赖性。论文最后给出了测试结果。     

入侵检测报警信息管理系统设计与实现

入侵检测系统的高误警率成为制约其发展的瓶颈之一。本文首先分析了目前入侵检测系统存在误警的原因,分析了进行报警信息管理的必要性,提出并设计了一个入侵检测系统报警信息管理的模型,最后对系统进行了实验验证,结果表明该系统能有效地减少报警数量。     

一种基于警报数据关联的入侵检测系统模型

入侵检测是保障网络安全的重要手段。对入侵检测系统产生的警报信息进行关联分析已经成为改善入侵检测系统检测性能的一个重要的、实际可行的手段。本文提出了一种分布式入侵检测警报数据关联模型,模型通过警报数据聚类和高层事件关联消除或减少重复警报,降低误警率,发现高层攻击策略。最后给出了警报聚类关联实现算法,该算法通过警报数据相似度的计算来实现警报聚类。     

基于数据挖掘的入侵检测技术研究

根据入侵检测系统的特点,将数据挖掘技术应用于入侵检测系统中,克服了一般入侵检测系统存在误警率高的不足.首先从训练数据中提取规则,然后用这些规则去检测新的入侵.将数据挖掘运用到入侵检测系统中是行之有效的,规则的更新和系统的更新较快且低廉,检测率也高.     

基于本体的入侵检测研究

对入侵行为之间的相关性进行清楚的描述,从而对协同式入侵做出判断,降低误警率,是入侵检测领域的重点和热点问题,本文在概要分析了误警产生的原因的基础上,重点讨论了基于本体的入侵检测框架。     

基于聚类算法的入侵检测技术

讨论入侵检测系统的基本技术,探讨基于智能技术的入侵检测方法,提出基于聚类算法的入侵检测系统。从实验结果来看,该入侵检测系统检测率高,误警率低,能有效满足用户的需求。     

基于免疫计算的IDS误警率问题研究

误警率较高是入侵检测系统（IDS）存在的一个主要问题,极大影响了检测结果的可信性。形式化分析了IDS可信问题与误报率的关系以及异常IDS误警率问题产生原因,借鉴生物免疫系统,提出了基于人工免疫思想,动态构建正常系统轮廓,抑制误警率的方法。给出了抗原、抗体的形式化描述及检测的具体过程,并进行了仿真和对比实验。理论分析和实验表明,该方法有效降低了IDS的误警率。     

基于规则的多模型集成化异常入侵检测系统

在讨论相关技术的基础上,提出一种多模型集成的入侵检测系统,然后运用不同的模型和方法,构建系统的正常行为,并将其使用基于规则的方法集成,实验证明系统的检测率得到提高的同时,大大降低了误警率.     

一个用于IDS告警分析的验证-聚类-关联模型

多步骤攻击是当前占据主流的攻击模式,但当前的入侵检测系统在检测这种攻击时存在告警冗余、告警孤立等问题.为解决这些问题,提出了一个验证-聚类-关联告警分析模型.该模型将验证、聚类、关联这3个告警分析环节结合在一起,逐层地对告警信息进行分析,通过验证过滤掉原始告警信息中的误报及无关信息,验证后的有效告警信息通过聚类生成无冗余的单步告警,再通过关联生成能描述攻击者意图的全局告警.对相关的算法与规则进行了描述,并通过几个实际的攻击场景验证了该模型的有效性.     

基于本地决策的多域间合作入侵检测

在大规模多管理域网络环境中，IDS系统间合作检测更多地体现出分布式、本地化的特点。文中提出基于本地安全策略实现信息采集、交换、评估、过滤和关联分析的合作IDS模型，描述了合作IDS间共享信息可信度评估和不完整警报关联分析等方法，实现了大规模多管理域网络环境中合作IDS原型MDCI系统。该系统能够有效降低警报关联分析的误报率和漏报率，提高合作IDS系统的检测性能。     

基于多源安全信息的IDS告警验证研究

由于检测算法的不足以及对目标系统相关信息的忽视,当前的入侵检测系统（IDS）存在着告警泛滥、误报率高等不足,影响了应用效果。为解决这些问题,在对现有验证算法不足进行分析的基础上,提出了一种利用多源安全信息进行告警验证的方法。通过利用深度漏洞信息、系统状态监测信息等多源安全信息,根据相应的告警验证算法,对IDS原始告警信息进行验证。相关实验证明了该方法的有效性。     

利用关联和风险评估方法减少误报和漏报 *

高误报和漏报率是入侵检测系统面临的主要问题。提出了一种利用关联和风险评估的方法 ,利用构建的安全关联模型 ,计算出每个安全事件 (如告警事件、系统安全日志记录等 )的实时风险值 ,对风险值较高的事件给出新的警告 ,并摈弃那些风险值较低的事件 ,从而降低漏报和误报率。实验结果表明 ,利用这种方法实现的事件关联系统能够显著降低检测系统的误报和漏报率。     

增量挖掘实时报警关联研究

入侵检测技术通过实时获取网络攻击报警信息,对网络安全实施检测、分析和动态防御,有效弥补了防火墙的不足。通过有效处理网络报警信息提高入侵检测的检测率、精确度是当前入侵检测技术研究的重要课题之一。提出了一种实时的增量挖掘入侵检测报警关联方法。该方法使报警事件的聚合操作和报警关联分析控制在小规模数据范围内进行,有效克服了一些数据挖掘算法应用到入侵检测过程中存在的多遍扫描、误报率高和报警信息关联度低问题。实验结果表明,该方法不但可以处理大容量实时网络报警信息,而且在报警信息关联分析和报警事件约减都体现了良好的性能。     

基于层次的智能告警关联分析模型研究

入侵检测系统的广泛使用产生了许多告警信息流,这些告警事件信息流基本上都是基于低层的攻击步骤检测,且具有较大的误告警率;各种分布式攻击进一步加剧了入侵检测系统告警事件信息流的复杂性。研究介绍了关联分析的基本原因、关联分析的基本概念,然后提出智能化入侵检测关联分析层次模型。该模型从误告警验证和抑制,到一个攻击一个告警,再到一个攻击过程对应一个场景刻画,形成一个层次。在不同的层次上,防御者对攻击的视图越来越清晰,从而为响应措施提供了精确的决策依据,进一步提高了整个入侵检测系统的智能性和可用性。     

入侵检测系统报警信息关联分析模型的设计与实现

入侵检测系统报警信息的关联分析技术,对解决目前入侵检测系统所存在的误报、漏报、报警信息层次低和难管理等问题,具有十分重要的意义。本文综合了目前所提出的几种关联分析方法,建立了一个入侵检测系统关联分析模型,该模型将关联分析过程划分为三个层次：聚类、融合和因果关联,可以对不同入侵检测系统产生的报警信息进行关联分析。     

基于安全扫描信息降低入侵检测系统的误报率

通常入侵检测系统在一旦发现有入侵迹象时便发出警报,但许多入侵攻击最终是不能成功的或者说并不能给系统或网络造成危害,所以相应的警报属于无效警报,而正是大量无效警报的存在使得入侵检测系统有着较高的误报率。在本文中,针对网络型误用入侵检测系统建立了一种新的警报过滤机制,此机制通过安全扫描系统建立起一个本网络的漏洞数据库,由于一种网络攻击一般都是针对一个或多个程序漏洞的,当入侵检测系统发现可疑入侵时,找出攻击成功时所需存在的漏洞,并依据漏洞数据库加以实时确认此漏洞是否存在,若不存在,则只是记入日志而不发出警报,从而过滤无效警报的产生。实验结果证明,本文提出的警报过滤机制可以有效的降低误报率。     

Alert correlation in collaborative intelligent intrusion detection systems—A survey

As complete prevention of computer attacks is not possible, intrusion detection systems (IDSs) play a very important role in minimizing the damage caused by different computer attacks. There are two intrusion detection methods: namely misuse- and anomaly-based. A collaborative, intelligent intrusion detection system (CIIDS) is proposed to include both methods, since it is concluded from recent research that the performance of an individual detection engine is rarely satisfactory. In particular, two main challenges in current collaborative intrusion detection systems (CIDSs) research are highlighted and reviewed: CIDSs system architectures and alert correlation algorithms. Different CIDSs system, architectures are explained and compared. The use of CIDSs together with other multiple security systems raise certain issues and challenges in, alert correlation. Several different techniques for alert correlation are discussed. The focus will be on correlation of CIIDS alerts. Computational, Intelligence approaches, together with their applications on IDSs, are reviewed. Methods in soft computing collectively provide understandable, and autonomous solutions to IDS problems. At the end of the review, the paper suggests fuzzy logic, soft computing and other AI techniques, to be exploited to reduce the rate of false alarms while keeping the detection rate high. In conclusion, the paper highlights opportunities for an integrated solution to large-scale CIIDS.     

Risk balance defense approach against intrusions for network server

The paper presents a new defense approach based on risk balance to protect network servers from intrusion activities. We construct and implement a risk balance system, which consists of three modules, including a comprehensive alert processing module, an online risk assessment module, and a risk balance response decision-making module. The alert processing module improves the information quality of intrusion detection system (IDS) raw alerts by reducing false alerts rate, forming alert threads, and computing general parameters from the alert threads. The risk assessment module provides accurate evaluation of risks accordingly to alert threads. Based on the risk assessment, the response decision-making module is able to make right response decisions and perform very well in terms of noise immunization. Having advantages over conventional intrusion response systems, the risk balancer protects network servers not by directly blocking intrusion activities but by redirecting related network traffics and changing service platform. In this way, the system configurations that favor attackers are changed, and attacks are stopped with little impact on services to users. Therefore, the proposed risk balance approach is a good solution to not only the trade-off between the effectiveness and the negative effects of responses but also the false response problems caused by both IDS false-positive alerts and duplicated alerts.