入侵检测与告警信息聚合技术研究.pdfVIP

摘 要 摘 要 入侵检测已经成为网络及信息安全领域一个重要环节，而告警信息聚合技术也成为 入侵检测系统中一个必不可少的组成部分。随着网络规模和传输速度的不断增大，海量 的网络流量对入侵检测系统以及告警信息处理技术的实时性和数据处理能力提出了挑 战。通常，在海量待处理数据中，异常数据很少，这小部分异常数据会被大量的正常数 据淹没，影响入侵检测系统的检测性能。系统资源会被大量的正常数据占用，同时也造 成了重复性或不完善告警数量的大量增加。大量的虚假及冗余告警不仅无法反映系统和 网络的实际情况，还超出了管理员的处理能力，最终可能导致系统或网络的瘫痪。 本文针对海量待检测数据中异常数据通常被大量正常数据淹没的问题，以及如何减 少大量虚假及冗余告警问题，提出了两种解决方法。 针对在海量的待处理数据中正常数据占绝对优势，占用系统大部分资源，影响检测 性能的问题，提出了一种基于半监督学习策略的数据过滤方法，去除数据集中的部分正 常数据（即冗余数据）。使正常数据与异常数据相对比较平衡，提高检测系统的实时性 及减少误告警的效果。 针对如何减少虚假及冗余告警的问题，提出了一种基于告警属性相似度的密度最大 值的方法。消减海量告警信息中的虚假及冗余告警信息，减轻系统及管理员的工作负担， 增强系统的实时性与可用性。 关键词 入侵检测 告警聚合 半监督学习 属性相似度 密度最大 I Abstract Abstract Intrusion detecction has become an important part of the network and information security. Alarm correlation has also become an essential component of the intrusion detection system. The vast amounts of network traffic challenges the capability of the intrusion detection system as the network size and transmission speed increasing. Usually, the abnormal data is only a small part in these massive data to be processed. The abnormal data will be overwhelmed by the normal data, and that will affect the performance of the intrusion detection system. A large number of normal data will occupy most of resources of the IDS and lead to a lot of false alarms. These all will bring troubles for administrators. Repetitive and inadequate alarms are increasing significantly as the intrusion becoming more complexity. The large number of false and repetitive alarms not only bring considerable burden to the administrator, but they also can’t reflect the real state of t