基于多挖掘方法和CPN的告警关联系统

网络攻击越来越复杂,入侵检测系统产生大量告警日志,误报率高,可用性低。为此,论文提出采用聚类分析、关联挖掘算法和基于彩色Petri网的联合挖掘多步骤攻击方法进行IDS告警关联,从宏观和微观攻击轨迹角度重建攻击场景,提高了入侵检测系统的可用性。     

基于模式匹配的告警关联

告警关联技术是入侵检测领域中一个新的发展方向，它对解决目前入侵检测系统存在的告警数量大、告警信息含量少、虚警数量大等问题具有十分重要的意义。文章介绍了在我们设计开发的分布式协同入侵检测系统（DACIDS）中通过对入侵行为模式的匹配而进行告警关联的方法。入侵行为模式是定义在时问基础上的一组谓词公式，其实质是通过时间限制联系在一起的入侵事件的集合。该方法在对大量告警进行关联的同时，对虚警的处理尤为有效。     

考虑置信度的告警因果关联的研究

一个成功的网络攻击往往由若干个处于不同阶段的入侵行为组成,较早发生的入侵行为为下一阶段的攻击做好准备。在因果关联方法中,可以利用入侵行为所需的攻击前提和造成的攻击结果,重构攻击者的攻击场景。论文引入了告警关联置信度的属性描述,用于分析因果关联结果的可信度,进而能够进一步消除虚假关联关系。通过DARPA标准数据集分析,该方法取得了较好的实验结果。     

电缆强电入侵起火告警技术

1通信电缆引入各种外来电流的危险性通信电缆是从交换机、MDF机房一直向外延伸到千家万户的信息神经网络。电缆长度一般都有几公里,市区平均约3～4km;在农村地区若采用小型光纤接入网,用户电缆可能只有几百米长,若采用普通程控交换局,电缆长度可能达到7～8km,甚至达10km以上。我国绝大多数地方的电缆网络纵横交错,很多地方与其它电力线路有交叉或平行走线,有的甚至就在同一根水泥杆子上架线。在这种恶劣、混乱的环境中,电缆线路上经常会出现各种危险性不同的外来电流,从而会带来以下危害:(1)市话电缆是弱电线路,电力线是强电线路,长期的近…     

IDS告警融合与关联模型的研究

入侵检测是保障网络安全的重要手段,针对现有入侵检测系统中告警数量多、协调性差等问题,论文提出了一种具有告警融合与关联功能的告警处理系统模型,该模型冗余告警量少、整体检测能力强,并能进行攻击企图的预测,能有效提高入侵检测的效率,有助于进一步增强网络的健壮性。     

一种基于关联的IDS告警分析模型

针对现有入侵检测系统中存在告警量过大、误报率高的问题,运用过滤检测、相关性分析等方法,对原始告警信息进行二次处理.实验证明,该模型能有效缩减告警数量,降低误警率.同时,还能将告警结果按照危险级别进行分类统计,以图形化的方式报告给用户,从而达到预警的目的.     

浅析现有MDF告警系统的不足之处

MDF是各地电信企业信息神经网络中不可缺少的组成部分,它能否正常、安全地运行直接关系到各电信企业能否正常地提供信息传输的服务。随着近几年通信行业的飞速发展,遍布于城乡各个角落的通信网络越来越庞大、越来越复杂,这使得配线架机房受到由电力线碰触、雷电入侵造成的火灾的威胁也就越来越大。因此,排除配线架机房各种可能的火灾隐患已经成为各电信企业日常运行维护中必不可少的一项工作。但在实际的机房运行维护工作中,现有的MDF告警系统暴露出了一些无法克服的先天缺陷,正是由于这些缺陷,不论系统是否告警,维护人员都无法真正、及…     

集中告警系统软告警关联的业务逻辑

集中告警系统未实现告警关联,存在自动派单准确性低、有效性差等问题.通过查询统计原始告警生成软告警的方法,可以实现告警跨网管、跨地域、跨专业的关联.软告警关联不仅可以解决准确性及有效性问题,还可以解决故障定性、故障影响、故障原因以及故障定位等预诊断性问题,丰富的软告警业务逻辑还可将原系统提升为综合告警分析系统.     

信息通信网络告警分类、关联性与管理方法研究

信息通信网络规模化、集成化、精细化的管理要求,使得通信网络监控将面对海量的网络告警信息,给网络告警管理带来新的挑战.从信息通信网络告警管理角度,提出了告警类型体系构成,讨论了通信网络维护管理环节对网络告警进行有效控制的方法,将告警逻辑、关联逻辑由网络设备内部延伸至网络设备之间,同时论述了数据挖掘算法在告警关联性方面的研究和应用,最后针对智能告警分析系统提出展望.     

一种基于Choquet模糊积分的入侵检测警报关联方法

文章研究了警报关联方法,模糊积分和模糊认知图基本理论,提出了一种基于Choquet模糊积分的入侵检测警报关联方法,设计并实现了一个能够识别多步攻击的警报关联引擎.通过DRDOS和LLDOS实验表明,该引擎能够有效的检测网络中存在的大规模分布式多步攻击.     

网络安全事件的关联分析方法的比较研究

随着当前攻击手段和技术的日益复杂化,一次入侵事件往往需要多个步骤才能完成,这些步骤都是彼此相关的。但是传统的入侵检测集中于检测底层的入侵或异常,所检测到的结果也仅仅是一次完整入侵的一部分,所以不能将不同的报警结合起来以发现入侵的逻辑步骤或者入侵背后的攻击策略。关联分析技术将不同分析器上产生的报警进行融合与关联分析,极大地减少了报警的数量,降低了入侵检测的误报率,并且适当的减少了入侵检测的漏报率。文中在对网络安全事件关联分析方法的系统结构进行分析后,着重介绍了当前比较流行的几种网络安全事件关联分析方法,最后对各种方法进行了比较研究。     

入侵检测技术的研究

入侵检测系统用于检测对计算机系统和网络的攻击。作为一种新型的信息系统安全机制,通过监控这些信息系统的使用情况,来检测信息系统的用户越权使用以及系统外部的入侵者利用系统的安全缺陷对系统进行入侵的企图。本文首先分析了入侵检测系统的主要模型及其实现技术,然后,对网络环境下基于代理机制的入侵检测模型及其主要实现技术进行了讨论。     

浅谈网络入侵检测技术

介绍了网络入侵检测系统的概念及分类，阐述了IDS的工作原理及技术，对IDS的发展方向提出了建议。     

基于Multi-agent的入侵检测及其融合结构研究

在计算机网络安全的重要性日益凸显的今天，传统的集中式入侵检测系统已不能充分保障计算机系统的安全。本文提出了一种基于多代理的分布式入侵检测系统，并描述了其信息融合的原理以及协同的实现方式。     

移动代理技术在分布式入侵检测系统中的应用

基于移动代理的入侵检测技术是近几年发展起来的一种新技术。主要介绍了基于移动代理技术的入侵检测系统模型的历史、概念、特点并介绍了一种Spara的模型。     

入侵检测系统探究

基于入侵检测系统的传统技术,分析并比较了统计模型、神经网络、数据挖掘和专家系统,提出了一种新型的基于安全状态信息库的入侵检测系统。通过建立系统安全状态数据库,在考虑入侵行为的同时,也考虑到受保护系统的防范能力;另外,通过建立可疑主机数据库,可对不同威胁级别的主机采用不同的检测和响应手段。