基于时序关联的网络入侵检测技术研究  

Research on chronicles correlation based network intrusion detection techniques

作　　者：韩正平[1] 金焱[2] 陈泰伟[2] 许榕生[1] 

机构地区：[1]中国科学院高能物理研究所计算中心,北京100049 [2]中国科学院研究生院,北京100049

出　　处：《核电子学与探测技术》2007年第4期706-710,723,共6页Nuclear Electronics & Detection Technology

基　　金：国家自然科学基金项目(70471064);北京电科院开放研究基金资助项目(20060515)

摘　　要：针对当前网络入侵检测技术存在的报警信息量太大、误报警多以及缺乏报警语义描述等问题,结合相应事例,采用时序关联方法对网络入侵行为的报警信息进行分析。设计了时序识别语言,实现了对端口扫描的报警精简,对FTP缓冲区溢出的误报警检测,以及对NetBios DCERPC攻击报警的语义改进。实验证明,该方法可有效解决上述问题。According to some problems existed in network intrusion detection technique, such as alerts overwhelming, false-positives and lack of alert description, this paper introduces chronicle correlation method to alert events analysis by some correlative examples. With designed chronicle recognition language, portscan＇s alerts can be reduced, false-positives in buffer overflow＇s alerts can be detected, and NetBios DCERPC attacks alerts semantics can be improved.

关 键 词：入侵检测 时序识别 时序关联 入侵分析 攻击场景 

分 类 号：TP316.8[自动化与计算机技术—计算机软件与理论]