入侵检测的日志综合分析模型分析.pdfVIP

入侵检测的日志综合分析模型研究 摘要 伴随着网络技术的飞速发展，网络逐渐成为人们工作和生活中不 可或缺的部分。同时，日渐复杂的网络攻击行为给人们带来了巨大的 损失，这使得网络安全技术受到了研究者的广泛关注。在日益复杂的 安全实践中，以防火墙为代表的第一代网络安全技术暴露出一些缺 陷，而入侵检测系统逐渐成为网络安全体系的重要组成部分。 然而，伴随着高速网络的发展和网络带宽的增长，入侵检测系统 逐渐暴露出日志误报漏报严重、不同系统日志重复信息过多、攻击识 别率较低等问题，使入侵检测的改进及日志分析成为网络安全领域的 研究热点。已有的研究成果为日志分析奠定了基础，但仍存在聚类方 法不合理、挖掘方式效率较低、日志信息利用不充分、未有效解决漏 报问题等缺陷。 针对上述问题，本文提出了由预处理、知识库离线学习及事件关 联分析三个模块构成的入侵检测日志综合分析模型，引入攻击事件的 阶段模型及分类体系构造合理的事务集，有效地利用新的增量挖掘算 法分析得到客观的关联规则，并提出漏报补偿匹配方法完成攻击场景 重构和攻击结果的分析。 基于该模型，本文设计并实现了模型的验证系统，并完成了日志 分析实验。实验结果从关联规则的合理性及分析结果的有效性两方面 证实该模型能够减少误报和漏报，产生通用易懂的日志。 关键词：入侵检测日志分析检测事件攻击结果向量增量挖掘算法 漏报补偿匹配 Ⅱ ALEIU、SANALySISFRAⅣ匝WORKFORA 蚤小Ⅱ，TI—IN删T10NDETECTIONENVmONN正NT ABSTRACT Withthe ofnetwork rapiddevelopmenttechnology,theincreasinglycomplicated to makesnetwork draw networkintrusionslead serious influence，which security more static attentions．However,仃aditionalsecurity defendingsystems，such鹤 tobeunsafewhen newattacks．Intrusiondetection firewall，areproved facing systems can traceand oftheir findintrusionsfromthe orderliness (IDS)，who actions， becomeanewofnetwork gradually part securitysystem． too false andfalse inwide However,IDSgeneratesmany positives negatives bandnetwork toits Call’taccurate environment．Besides，dueelementaryalerts,IDS tobe a administrator．AlertsforIDSbecomesa directlymanagedbysecurity