一种基于网络环境感知告警关联分析框架.pdf

留嬲鼎釜 首届全国信息安全等级保护技术大会会议论文集 —种基于网络环境感知的告警关联分析框架 符易阳1’2}3+，王平2，许佳3 1(北京大学信息科学技术学院，北京市100871) 2(北京大学软件工程国家工程研究中心，北京市100871) 3(江南计算技术研究所部门，江南省无锡市214083) A FramewOrkforAlertCOrrelatiOnBasedOnNetwork EnvironmentAwareness FU Jia3 Y．_Yan91’23+，WANGPin92。XU ofElectrDnics and ‘。(SchooI Engineer．ng ComputerScience，PekingUniVersity’BeUing100871，China) ResearchCenterforSofcware 1 2(NacionaIEngineering Engineering，PekingUniversityIBeHing00871，China) lnstitute0f 21 3(JiangNan Computjng。rechnoIogy，WuxiJiangsu4083，China) +Correspondingauthor：E—ma．I：fuyiyang@pku．edu．cn rawalerts Va r_Oussensorsand attackers’ are OfmOre Abstract：Managinggeneratedby finding purposebecoming tOjntrusjon detectjOn thjs af阳meworkfbraIertcOrreIatiOnOnthebasisOf sjgnjficance systems．Inpaper’wepropOse netwOrkenVin)nmentawareness．Inthis framewOrk，the differentaIertswhich thebehaviOr reIatiOnshipamong represent ofattackerisfindOut thecombinationof aJert mu}ti—sourcedatafusjonandnetworkenvjronment fhfough anaIysis，whjch is differentfromalertcorreIationmethOdused work．Thenwe Very byOthers rebu¨dtheattackscenar-0sbasedOnthe outIined to attackand theattacker’s refationshipidentiⅣthepath target． wOrds：NetworkEnVironment，¨areness：AIenCorreIatiOn：AttackScenarjO Key 摘要：在入侵检测系统中，如何对多源的告警数据进行融合并分析，并能发现攻击者的意图变得越来越重要。本文提出一 种基于网络环境感知的告警关联分析框架，通过对多源的告警数据融合分析，结合具体的网络环境信息，找出告警数据体 现的攻击行为之间的关联关系，构建网络攻击场景，从而