入侵检测语言的评价1AnEvaluationMethodforIntrusionDetection.PDF

侵检测语言的评估1 孙美凤①，② 龚 俭① ①东南大学计算机系网络中心 南京 210096 ②扬州大学信息工程学院 扬州 摘要 入侵检测语言是滥用入侵检测系统用于定义攻击场景的表示规范。本文提出一种比 较和评估入侵检测语言的方法，该方法建立在一个可被证明是互斥和完备的分类基础上，并 基于表达能力、表示简洁性、检测强度等三个测度。使用该方法可以 现有的各类检测语言 表示攻击特征并进行推理的相 有效性进行评估，从而揭示出现有检测语言的缺陷和理想的 入侵检测语言应具有的特性。 关键字 入侵检测系统; 检测语言; 检测算法; 评估 中国图分类号TP393 An Evaluation Method for Intrusion Detection Language ①，② ① Sun Meifeng Gong Jian （msun、jgong）@ ①Computer Science and Technology Department, SouthEast University, NanJing, 210096 ②Information and Engineering College,YangZhou University, YangZhou Abstract Intrusion detection language is an expression specification used by IDS to describe the intrusion senarios. Based on a mutually exclusive and exhaustive taxonomy of network attacks and their detection languages, this paper proposes an evaluation method for intrusion detection languages with three metrics:expressibility，representational succinctness and detection intensity. Those well-known detection languages have been evaluated using this method in terms of their ability to express attack signature and their detection efficiencies, so as to reveal their shortages and the features that an ideal detection language should have. Keywords intrusion detection system; detection language; detection algorithm; evaluation 1 引言 滥用检测认为攻击可描述为针对特定漏洞的特定行为模式，这些行为模式的出现代表攻 击的发生。检测语言是滥用入侵检测系统 （IDS）用于定义攻击场景的表示规范，它可编码 攻击场景以及响应行为以形成入侵特征库；检测算法根据入侵特征库给出的知识在输入事件 1 本课题得到国家自然科学基金（90 104031 ）资助. 孙美凤，女，1970 年生，博士研究生，主要研究方向 为网络安全监测. E-mail: msun@. 龚俭，男，1957 年生，博士生导师，主要研究方向为网络安 全、网络管理和网络体系结构. 1 流中寻找恶意行为的证据，并做出结论。因此，攻击场景表示是基于规则的IDS 的首要内 ， 是攻击行为规律