一种分层实现的分布式告警融合算法

Ａ ａ ｅ ｅ ｉｔ ｉ ｕ ｅ ｌｒ ｏ ｒ ｌ ｔｏ ｌ ｏ ｉｈ ｌ ｙ ｒ ｄ ｄ ｓｒｂ ｔ ｄ ａ ｅ ｔｃ ｒ ｅａ ｉ ｎ ａ ｇ ｒｔ ｍ
Ｔ ＡＮＧ ａ ｇ Ｌｉｎ
（ ｕｎ ｎＴ ｌｃｍ Ｃ ｒｏａｉ ，ｈ ｎ ｓａＨ ＇ ｎＣ ｉａ４ ８ ） Ｈ ＇ａ ｅ ｏ ｏｐ ｒｔ ｎＣ ａｇｈ ， ｕ ａ ，ｈｎ ０ ２ ｅ ｏ ｎ １ ０
１ 引 言
随着 网络 入侵 不断 增多 ，人们 划。 网络 安 全 的 于
需 求 也 越 来 越 强 烈 。 入 侵 检 测 系 统 （Ｄ ， Ｉ Ｓ
Ｉｔ ｓ ｎ Ｄ ｔ ｔ ｎ Ｓ ｓ ｍ） 作 为 一 种 主 动 防 御 策 ｎｒ ｉ ｅ ｃｉ ｙｔ ｕｏ ｅ ｏ ｅ
同时要对 相似 的报 警进 行融合 ．从而减 少 告警 的数
ｄ ｔｃｉ ｎ ｅｌ ｉｎ ｙ ａ ｄ ｒ ｄ ｃ ｈ ａｓ ｏ ｉ ｖ ａｅ ． ｅｅ ｔ ｌ ｃ ｅ ｃ ｎ ｅ ｕ ｅ ｔｅ ｆ ｅ ｐ ｓ ｔ ｅ ｒ ｔｓ ｏ ｉ ｌ ｉ
Ｋｅ Ｗ ｏ ｄ ： ｔ ｓｏ ｅｅ ｔ ｎ ｓ ｓｅ ｙ ｒ ｓ ｉ ｒ ｉｎ ｄ ｔｃ ｉ ｙ ｔｍ；ａｅｔｃ ｒ ｌ ｔ ｎ ｌｏ ｉ ｍ ｎ ｕ ｏ ｌ ｒ ｏ ｒ ａｉ ；ａｇ ｒｔ ｅ ｏ ｈ
量 。提 高告警 的准 确率 。
２ 告警融合算法的结构模型和实现流程
告警 融合 算法 分为 三个层 次 ．分别 是 聚集 、合 并 、关联 ．其 结构 模型 如 图 １ 示。 所
从单 个 Ｉ Ｓ或 其 它安 全 部件 产 生 的 低 级 告警 ． Ｄ
略 ．可 以实时检 测 网络 中 的入侵和 攻击 ，并 采取 一 定 的响 应措 施 ，逐渐 受到 人们 的重 视和 应用 。
件之 问 的逻 辑 联系 ，将 中级告警 进 行关 联 ．最终 生 成高 级告警 。
［ 收稿 １ ］２０一 ｌ２ ３ 期 ０６ ｌ ３ 一 ［ 作者简介 ］唐亮 （９ ９ ）， ，湖 南长沙人，高级通信 程师 ，湖 南大学软什 学院软件 工程专 业硕 士研究生 ，研究 １６一 男
告 警 。算 法 通 过 “ 集— — 合 并— — 关 腹 ”三 个 步 骤 ．实现 了对 告 警 的 融合 。 聚
【 关键词】入侵检测系统；告警融合；算法 【 中图分类￣］Ｐ９， Ｔ ３３ ８ ０ 【 文献标识码】 Ａ 【 文章编号】６１９８（０７－ １０２－４ １７—５ １ ０ ）０－０５０ ２ －
形成 告警簇 ：合 并模块 对 告警簇 进行 分 析 ．合并 初 ห้องสมุดไป่ตู้
加 。从 各个 部件 上传 到管 理模 块 的告警 ，往 往不 是
最 终 的告警 ．而 只 是简单 告警 。管 理模 块需 要埘 这 些 告警 进 行 处理 ．埘 单 个告 警 的 真 实性 进 行 判断 ，
级告警 得到 一个 中级 告警 ：关联 模块 根据 攻 击前 后
维普资讯
长 沙 通 信职 业 技 术学 院 学报 第 ６卷 第 ｌ 期 ２ ０ 年 ３月 ０７
Ｊ ｕｎ ｌｏ ｈ ｎ ｓ ａ Ｔ ｌｃ ｍｍｕ ｉａｉｎ ｏ ｒａ ｆＣ ａ ｇ ｈ ｅｅ ｏ ｎｃ ｔ ｓ ｏ
ａ ｄ Ｔ ｃ ｎ ｌｇ ｃ ｔ ｎ ｌ Ｃ ｌ ｇ ｎ ｅ ｈ ｏｏ ｙ Ｖｏ ａｉ ａ ｏ ｌ ｅ ｏ ｅ
Ｖｏ ． Ｎｏ １ １ ６ ． Ｍ ａ －０ｏ ｒ２ ７
一
种分层实现的分布式告警融合算法
唐 亮
（ 南大学软件学院，湖 南长沙 ４０ ８ ） 湖 １ ２ ０
【 要】 摘 在大规模高速网络环境下，分 式入侵检测系统中使用的告警融合算法把底层模块产生的多个简单告警融合
生成少量包含更 多信息 的告警 ，以减少冗余 告警 ，提高入侵检测的检测效率 ，降低 误报率 ，最终为管理 员提供简练精确 的
Ａｂ ｔ ａ ｔＩ ａｇ － ｃ ｌ ｉｈ ｓ ｅ ｄ ｎ ｔ ｏ ｋ ｅ ｖｒ ｎ ｎ ， ｅ ｔ ｏｒ ｌ ｔ ｎ ａｇ ｒｔｍ ｓ ｄ ｉ ｒ ｅ ｓ ａｅ Ｄ ｓｒ ｕｅ ｎ ｒ ｓｏ ｓｒ ｃ ：ｎ ｌｒ ｅ ｓ ａｅ ｈｇ － ｐ ｅ ｅｗ ｒ ｎ ｉ ｍｅ ｔ ｎ ａ ｒ ｃ ｒ ａｉ ｏ ｉ ｏ ａ ｌ ｅ ｏ ｌ ｈ ｕ ｅ ｎ ｌ ｇ － ｃ ｉ ｔ ｂ ｔｄ Ｉ ｔ ｉ ｎ ａ ｌ ｉ ｕ Ｄ ｔｃｉ ｎ Ｓ ｓｅ ｏ ｒｌ ｔｓｓｍｐｅ ａｅ ｔ ｐ ｏ ｕ ｅ ｙｌ ｗ ｌｖ ｌ ｏ ｏ ｅ ｔ ｉ ｔ ｏ ｌ ｘａ ｅｔ ． ｒ ｇ ｒ ｈ ｕ ｅ ｈ ｅ ｓｅ ｓ ｈ ｃ ｅ ｅ ｔ ｙ ｔｍｓ ｃ ｒｅ ａｅ ｉ ｌ ｒ ｒｄ ｃ ｄ ｂ ｏ — ｅ ｅ ｍｐ ｎ ｎ ｓ ｎ ｏ ｃ ｍｐ ｅ ｒ Ｏｕ ｏ ｉ ｍ ｓ ｓ ｔｒ ｔ ｐ ．ｗ ｉ ｈ ｏ ｌ ｓ ｃ ｌ ｓ ｌ ａ ｔ ｅ ａ ｏ ｇｅ ａ ｉｎ ｏ ｉ ｏ ｎ ｏｒ ｌ ｔ ｎ ｏ ｉ ｌｍｅ ｔ ｌｒ ｃ ｒ ｌ ｔ ｎ Ｔ ｅ ａｇ ｒ ｈ ｅ ｎ ｒｄ ｃ ｈ ｄ ｎ ａ ｃ ｅ ｔ ｍｐ ｏ ｅ ｔ ｅ ｅ ｒ ｃ ｎ ｒ ｇ ｔ ，ｃ ａ ｔ ｎ ａ ｄ ｃ ｒ ａｉ ，ｔ ｍｐｅ ｎ ｅ ｔ ｏ ｒ ａｉ ． ｈ ｏ ｉ ｍ ａ ｅ ｕ ｅ ｔｅ ｒ ｕ ｄ ｎ ｙ ａ ｒ ，ｉ ｒ ｖ ｈ ｏ ｌ ｉ ｅ ｏ ａ ｅ ｏ ｌ ｔ ｅ ｌ ｓ
在 大规模 网络环 境下 ．应 用入 侵检 测系 统检 测 攻击 遇 到 了新 的挑 战。这 主 要体现 在单位 时 问 内需
要 处理 的数据 大 大增 加 ，出现 的告警 数 目也 大大 增
经过 预处理 后 由聚集模 块 进行相 似度 计 算 ．然 后将 初级 告 警分 组 ．对 相 似度 比较 高 的告 警 进 行 聚集 ．