基于扩展CPN的多源数据报警相关性  

Alert correlation of multi-source data based on extended colored Petri net

作　　者：刘密霞[1] 张秋余[1] 邹晓[1] 余冬梅[1] 

机构地区：[1]兰州理工大学计算机与通信学院,兰州730050

出　　处：《吉林大学学报（工学版）》2009年第2期453-457,共5页Journal of Jilin University:Engineering and Technology Edition

基　　金：国家科技支撑计划项目(2006BAF01A21);甘肃省自然科学基金项目(2007GS04066;2007GS04823)

摘　　要：针对网络安全管理员要处理来自IDS、防火墙、防病毒软件以及漏洞扫描器等安全工具所产生的报警信息来获得计算机网络中攻击的高级描述,提出基于多源数据报警相关性的方法。首先,对CPN(Colored Petri Net)进行扩充,增加了反映安全工具报警信息的观测集,形成了ECPN(Extended Colored Petri Net),并对其进行了形式化描述与图形建模;其次,提出了基于ECPN攻击场景的构建关联算法ECPN-Scenario-Constructor以及攻击动作提取算法Multistep-Abstract;最后,对DARPA 2000入侵场景关联评测数据集进行了实验。实验结果表明:该算法可以对报警进行有效的关联,及早地发现攻击者的攻击策略,并能有效地避免误报和减少漏报。A method of alert correlation based on multi-source data is presented.This is due to that,in order to attain a high level description of cyber-attacks,the network security administrators have to manually handle the alerts from multiple sources,such as the Intrusion Detection System(IDS),firewall,anti-virus software and scanner.First,an Extended Colored Petri Net(ECPN) is constructed by adding observation set,which reflects the alerts information from security tools,to the Colored Petri Net(CPN),and the form...

关 键 词：计算机应用 报警相关性 CPN 攻击场景 攻击动作 

分 类 号：TP393.08[自动化与计算机技术—计算机应用技术]