可扩展的IDS告警关联分析方法  

Scalable Alerts Modelling and Threat Assessment

作　　者：王兰佳[1] 段海新[2] 李星[2] 

机构地区：[1]清华大学电子工程系,北京100084 [2]清华大学信息网络工程研究中心,北京100084

出　　处：《中国教育网络》2007年第3期32-35,共4页China Education Network

摘　　要：告警关联技术对提高入侵检测系统的性能具有重要作用。针对目前多数方法可扩展性有限,实现难度大的问题,提出了一个新的告警关联分析模型。利用IP地址、时间等信息,此告警模型能够对大量告警进行划分,有效反映攻击场景。此外,基于此模型,提出了对攻击活动威胁性进行估计的方法。通过对实际入侵检测告警数据的实验,验证了此告警模型的合理性和威胁估计方法的有效性。Alerts correlation is useful for intlusion detection systems. A new model to correlate and analyze alerts is proposed in this paper, focusing on the sealability and practicability. Making use of information such as IP address and time stamp, this alerts model can partition and condense the flood of alerts, reflecting the attack episodes. Then based on the alerts model, a method is designed to assess the threat of malicious activities on networks. The evaluation on real IDS alerts validates the reasonability of the alerts model and effectiveness of the threat assessment method.

关 键 词：入侵检测 告警关联 威胁估计 

分 类 号：TP393.08[自动化与计算机技术—计算机应用技术]