基于网络安全知识库入侵检测模型.docVIP

基于网络安全知识库入侵检测模型 　　（1.西北大学 信息科学与技术学院， 西安 710127； 2.西安邮电学院 通信工程系， 西安 710121） 　　?? 　　摘要： 　　在网络安全知识库系统的基础上，提出一个基于网络安全基础知识库系统的入侵检测模型，包括数据过滤、攻击企图分析和态势评估引擎。该模型采用进化型自组织映射发现同源的多目标攻击；采用时间序列分析法获取的关联规则来进行在线的报警事件的关联，以识别时间上分散的复杂攻击；最后对主机级和局域网系统级威胁分别给出相应的评估指标以及对应的量化评估方法。相比现有的IDS，该模型的结构更加完整，可利用的知识更为丰富，能够更容易地发现协同攻击并有效降低误报率。 　　?す丶?词：网络安全； 知识库； 入侵检测模型； 关联； 威胁评估 　　?ぶ型挤掷嗪牛?TP393.08文献标志码：A 　　文章编号：1001?B3695(2009)03?B1079?B03 　　?? 　　Intrusion detection framework based on network security knowledge databases 　　?? 　　XIAO Yun1, WANG Xuanhong2 　　?? 　　(1.School of Information Science Technology, Northwest University, Xi’an 710127, China;2. Dept. of Communicate Engineering, Xi’an Institutes of Post Telecommunications, Xi’an 710121, China ) 　　?? 　　Abstract: 　　This paper proposed anew intrusion detection framework based on the existing network security knowledge databases. It included data filtering, attack attempt analyzing and threat evaluation engines. The evolving selforganizing map was used to find attacks with same source and multi targets. Time series analysis method was utilized to obtain correlation rules to correlate intrusion events online, so the complicated attacks with disperse attack times could be checked. Then the threat evaluation indexes and quantitative threat evaluation formulas for evaluating serves, hosts and local area network were given. The framework is more integrated and has more useful knowledge than existing intrusion detection system (IDS) and easier to find coordinated attacks with lower false positive rate. 　　??Key words：network security; knowledge datasets; intrusion detection framework; correlation; threat evaluation 　　?お? 　　0引言 　　目前，国内外著名安全厂商和研究机构已经建立了一些知名的安全信息数据库系统，比如CERT组织维护最新的安全公告、CVE建立了一个统一名称的漏洞数据库，Snort和ISS均建立了相当丰富的攻击特征库，Norton等反病毒厂商也建立了庞大的病毒特征库。这些安全数据库基本上都是针对某个方面建立的数据库，没有考虑不同安全知识库之间的信息关联分析，更没有考虑基于统一网络安全知识库系统的整体安全预防、入侵检测、系统评估的综合应用。实际上系统漏洞、入侵攻击、策略管理之间存在互为因果、相互影响的关系，单纯考虑其中一方面因素是很难解决复杂的网络安全问题。只有将各种网络安全知识统一、关联起来，充分利用各个知识库的信息，才能有效地进行整体安全预防