入侵检测系统中分层报警处理模型的研究  

Research on hierarchical alarm processing model in intrusion detection system

作　　者：肖立中[1,2,3] 刘云翔[1] 戴蒙[1] 

机构地区：[1]上海应用技术学院计算机科学与信息工程系,上海200235 [2]华东理工大学控制科学与工程博士后流动站,上海200237 [3]昆山软件园博士后工作站,江苏昆山215311

出　　处：《计算机应用研究》2009年第8期2995-2999,共5页Application Research of Computers

基　　金：上海高校选拔培养优秀青年教师科研专项基金资助项目(YYY-07008);上海应用技术学院引进人才科研启动资助项目(YJ2007-24);上海应用技术学院计算机科学与技术重点学科资助项目

摘　　要：针对入侵检测系统中报警泛滥的问题,提出了一种分层的报警数据处理模型,在不同层次对报警数据进行了过滤、归约、融合和关联。在过滤阶段,建立了知识库对误警进行了消除;在归约阶段,设计了归约算法,可以实时消除报警中的重复信息;在融合阶段,设计了一种基于聚类的融合算法,可以实时消除报警中的相似信息;在关联阶段,首先用频繁片段算法对训练数据进行了分析,发现其中的入侵模式,然后再以这些模式建立知识库,为基于聚类的关联算法提供攻击的相似信息以发现入侵模式。通过上述处理,减少了报警中的错误信息和无用信息,减轻了系统和管理员的负担,同时可以发现入侵的攻击模式,对入侵进行预警。实验证明所提出的模型是有效的。In view of the alarm flooding problem, this paper studied a hierarchical alarm processing model to filter, reduce, fuse and correlate alarm data. In filtering, eliminated false alarms with repository. In reduction, designed a reduction algorithm to remove the duplicate alarms in real time. In fusion, proposed a clustering-based fusion algorithm to banish similar alarms in real time. In correlation, implemented the frequent episodes algorithm on training data to find the intrusion patterns and constructed repository which provided similarity to the clustering-based correlation algorithm. Through the above processing, eliminated the false and invalid alarms, which eased the networks system and administrator＇ s burden. Meanwhile, found the intrusion patterns and reported the alarm prediction. Experimental results show the model is effective.

关 键 词：入侵检测 报警处理 聚类算法 

分 类 号：TP301[自动化与计算机技术—计算机系统结构]