基于时间对抗网络报警深度信息融合方法.docVIP

基于时间对抗网络报警深度信息融合方法 　　摘要：针对目前网络报警信息融合方法仅以单时间点为处理单元，无法适应网络攻击逐渐呈现出的隐蔽性强、持续时间长等特点，提出一种基于时间对抗的网络报警深度信息融合方法。面对多源异构报警数据流，首先采集并保存当前一个较长时间窗口内的报警信息，然后利用基于滑动窗口的流聚类算法对报警信息进行聚类，最后引入窗口衰减因子对聚类后的报警进行深度融合。真实数据的实验结果显示，与基本DS证据理论（BasicDS）和指数加权DS证据理论（EWDS）融合方法方法相比，该方法有较高的检测率和较低的误检率，但因为采用了更长的时间窗口，精简率上略低；实际测试与性能分析也表明，该算法的时延较小，能更加有效地检测网络攻击，且能完成实时处理。 　　关键词：异构数据流；网络报警；深度信息融合；时间对抗；衰减因子 　　中图分类号： TP393.08 　　文献标志码：A 　　Abstract：Due to using a single point in time for the processing unit， current network alerts information fusion methods cannot adapt to the network attacks with high concealment and long duration. Aiming at this problem， a network alerts depth information fusion method based on time confrontation was proposed. In view of multisource heterogeneous alerts data flow， firstly， the alerts were collected and saved in a long time window. Then the alerts were clustered using a clustering algorithm based on sliding window. Finally， the alerts were fused by introducing window attenuation factor. The experimental results on real data set show that， compared with BasicDS and EWDS （Exponential Weight DS）， the proposed method has higher True Positive Rate （TPR） and False Positive Rate （FPR） as well as lower Data to Information Rate （DIR） because of longer time window. Actual test and theoretical analysis show that the proposed method is more effective on detecting network attacks， and can satisfy realtime processing with less time delay. 　　Key words：heterogeneous data flow； network alert； depth information fusion； time confrontation； attenuation factor 　　0 引言 　　面对网络攻击威胁的日益频繁，网络中的监控与检测设备也随之增多，如入侵检测系统（Intrusion Detection System， IDS）、防火墙、病毒检测系统（Virus Detection System， VDS）。这些部署于现实网络中的多源传感器，源源不断地产生着海量的异构报警信息，为管理员提供及时的网络安全状况。目前，检测设备产生的安全防护数据普遍存在如下问题：1）报警信息冗余度大，存在着大量的重复报警。IDS有时会对同一个安全事件在短时间内产生大量重复的安全报警，从而减弱了报警信息的可读性。2）漏报误报率偏高。经研究，文献[1]中指出，传统的反病毒软件无法检测54%的恶意软件；文献[2]中指出，传统检测技术无法发现87%的数据泄露事件；尤其是面对近年来新兴的高级持续性威胁（Advanced Persistent Threat， APT），一种具有隐蔽性强、持续时间长、危害性较大等特点的新型综合性网络攻击手段，传统防护手段检测难度更大。由于存