防网络攻击警报信息实时融合处理技术研究与实现

３１事件归约 ．
３１１合并重复关 系警报 ．．
合并来 自相同传感 器的 重复警报 。ｌｖ ｌ 层格 式统 ｅｅ１
一
基础 上的警报信息 实时融合处理 系统 的实现方 法，并给 出了
该系统的测试结果。
二 一二 Ｉ 一 二 二～ ～并二 —－ 二 攻二 二 多 二 团 Ｕ ＿ 冈 厂 网二 一 二对 二
０引言
在大规模 网络 中进行分布式入侵 检测和网络安全预 警往往需要采用多个异构 Ｉ ＤＳ相互协作以检 测各 种复杂攻击 ，但 是必须
解 决 以下 问题 ：
１ ）来 自不同厂家不同类型的 Ｉ Ｓ采用的警报格式不尽 相同，为警报信息的共 享和进一步分析带来 困难 ；２ Ｄ ）在分布式入侵检
测环境中， 自 来 底层 Ｉ Ｓ Ｄ 传感器的警报数量众多，其中还混杂着大量的重复、冗余信息，给分析工作带来困难 ； ） ３ 受到本身的
ｂ ｉｄ ｍ ｏ ｅ ｉｔ ｇ ａｅ ｔａ ｋ ｓ ｅ ａ ｉ ． ｐｅｉ ｅ ａ ｅ ｕ ｔ ｈ ｗ ｈ ｔｔ ｅｒ ａ．ｉ ｅｆ ｉｎ ｓ ｓｅ ｎ ｔ ｉ ｄｅ ｕ ｌ ｒ ｎ ｅ ｒｔ ｄ ａｔｃ ｃ ｎ ｒｏｓ Ｅｘ ｒｍ ｎｔｌｒ ｓ ｌｓｓ ｏ ｔ ａ ｅ １ｔｍ ｕｓｏ ｙ ｔｍ ｏ ｓｍｏ ｌ ｈ ｈ
●
收稿时间 ： ０ １ ０ — ０ ２ １— ６ １ 基金项目： 国家”８ ３ 高技术研 究发展 计划资助项 目（ ０ ９ ０ Ｚ４ ２ ６” ２ ０ ＡＡ １ ３ ）
作者 简介： 段祥 雯（ ９ ３ ） １７一 ，女，湖 南，工程 师，讲师，硕 士，主要研 究方 向：网络 与信息安 全、计算机应 用 ； 兵 （ ９９ ） 杨 １７ 一 ，男，江 西， 博 士研 究生，主要研 究方向 ：网络 与信息安全 ；张怡 （ ９３ ） ，四川，副研 究员，博 士，主要研 究方向 ： １７ 一 ，女 信息安全。
关键词：入侵检测；警报关联 ；警报融合 中图分类号：Ｔ ３３０ 文献标识码 ：Ａ 文章编号：１７ — １２（ ０１ ７ ０ ５ — ４ Ｐ９． ８ ６ １ １２ ２ １ ）０ — ０ １０
ＴｈｅＮ ｅｗ ｏ ｋ ｔａ ｋＡｌ ｒ ｅ １ｔｍ ｅＩ ｏ ｍ ａ ｉ ｎ Ｆｕｓｏ ｔ ｒ Ａ ｔ ｃ ａ ｍ Ｒ ａ ．ｉ ｎｆ ｒ ｔｏ ｉｎ
ｉ － － ｉ［
有 提 具体 的实现 方案 ；在 多传感 器数 据融 合的实 现方面，
— —
警报流
ｌ
Ｉ
… … … … … … 一
ｆ— —Ｌ、
一 … … … … … 一
ｊ
Ｅ Ｒ Ｌ ＭＥ Ａ Ｄ系统 ＿ ４ 对于可能来自 多个异构传感器 的警报信息， 采用基 于概 率的算法计 算两个警报 的属性相 似度，再根 据总
ｗｏ ｋ ｆｅ ｔ ｅｙ ｉｈ ｓ ｉ ｈａ ｃ ｒｃ ｄｈ ｇ ｌｒ ｄ ｃｉ ｎｒ ｔ ． ｒ ｓｅ ｃｉ ｌ ，ｔ ａ ｇ ｃ ｕ ａ ｙ ａ ｉｈａ ａ ｒ ｕ ｔ ｅ ｖ ｈ ｎ ｍ ｅ ｏ ａ
Ｋ ｅ ｗｏ ｄｓ Ｉ ｔｕ ｉ ｎｄ ｔ ｃｉｎ；Ａｌｒ ｏ ｒ ｌｔｏ ｙ ｒ ： ｎ ｒ ｓｏ ｅ ｅ ｔｏ ｅ ｃ ｒｅａｉ ｎ；Ａ ｌｒ ｓｏ ｔ ｅ ｔ ｉｎ ｕ ｆ
检测技 术或所处的检测位置 的局限，Ｄ Ｉ Ｓ传感器存在误报 （ 错误 的将所保护系统 中的良性 行为识别为人侵并产生警 报 ） 和漏报 （ 对
部 分针对系统的入侵不能识 别 、报警 ）问题 ，容易对入侵检测分 析和预警 产生误 导 ； ） ４ 人侵行为之 间往往不是孤 立 的，通常具
有—定的联系， 这决定了其所触发的警报之间也存在着复杂关系。发现这些关系，对于分析人侵行为，发现人侵企图，进行网络 预警， 有着重要意义。而来 自 底层 ＩＳ Ｄ 传感器的警报自 身并未呈现其间的种种联系。
ｔ ｏ ｆｏ ｔｍｕ ｔ ｓ ｎ ｏ ａａｆ ｓｏ ｃ ｎ ｑ ｅ ｒ ｔ ｄ ｅ ｉ Ｐ ｐ ｒ Ｂ ｓ ｄ ｏ ｅａ ａｙ ｉ ｏ ａ ｉｕ ｏ ｌｘ ０ ｃ ｎｒ ｎ ， ｌ ． ｅ ｓ ｒ ｔ ｉ ｎ ｔ ｈ ｉ ｕ ｓ ｅｓｕ ｉｄｉ ｔ ｓ ａ ｅ． ａ ｅ ｎ ｔ ｎ ｌ ｓｓ ｆ ｒｏ ｓｃ ｍｐ ｅ ｉ ｄ ｕ ｅ ａ ｎｈ ｈ ｖ ｒ ｌｔ ｎ ｈ ｐ ｆ ＤＳ ａｅｔ， ｈ ｓ ａ ｅ ｒ ｓ ｎ ｓａ ｌｒ ｆ ｒ ｔ ｎ ｒ ａ． ｍｅ ｆ ｓ ｎ ｍｏ ｅ ． ｌｒ ｆ ｒ ａｉ ｎ ｅａｉ ｓ ｉｓｏ ｌｒｓ ｔｉ ｐ ｒ ｅｅ ｔ ａｅ ｓｉ ｏ ｍａｉ ｅ １ｔ ｉ ｄ １ Ａｎ ａｅ ｓｉ ｏ ｏ Ｉ Ｐ ｐ ｎ ｔ ｎ ｏ ｉ ｕ ｏ ｔ ｎ ｍ ｔ ｏ ｒ ａ． ｍｅ ｆ ｓｏ ｙ ｔｍ ａ ｅ ｎ ｉ ｉ ｒ ａｉ ｅ ． ｉｈ Ｃ ｅ ｌ ｉ ｓ ｌｒ ｓｆｏ ｖ ｒｏ ｓｈ ｔ ｒ ｇ ｎ ｏ ｓＩ ｅ１ ｉ ｉｎｓ ｓ ｔ ｕ ｅ ｂ ｓ ｄ ｏ ｅ ｌ ｄ ｗｈ ｃ ａ ｒ ａ— ｍｅ ｆ ｅａａ ｔＳ ｚ ｎ ｔ ｕ ｍ ｍ ａｉ ｕ ｅｅｏ ｅ ｅ ｕ ＤＳ ｒ ｓ ｎ ｏ ｓ ｇ ｎ ｒ ｔ ｔ ｃ ｅ ｕ ｎ ｅｖ ｅ ａ ｏ ｔｎｒ ｓｏ ｅ ａｕ ｔ ｒａ ｅ ｎ ｒ ｄ ｃ ｏ ｅ ｔ ｌ ｔ ｃ ｓ Ｆ ｒｈ ｒ ｏ ｅ ｅ ｓ ｒ， ｅ ｅ ｅａｔ ｋ ｓ ｑ ｅ ｃ ｉ ｗ ｂ ｕ ｔ ｉｎ，ｖ ｌ ａｅｔ ｅ ｔｎ ａ ｄｐ ｅ ｉｔ ｔｎ ｉ ｔ ｋ ． ｕ ｔ ｅ ａ ａ ｉ ｕ ｈ ｐ ａ ａａ ｍ ｒ， ｈ ｃｉ ｆｒ ｓ ｎｎ ａｓ ｎ ｇ ｔ ｓ ｎｒ ｄ ｃ ｄ ｗｈｃ ｉ ｔ ｄ ｃ ｄ ｅｓ ｆ ｔ ｆｍｉｓ ｄ ａ ｅ ｎ ｔ ｅｆ ｎ ｔ ｎ ｏ ａ ｏ ｉ ｇ ｆ ｌ ｅ ａ ｉｅ ｉ ｉｔｏ ｕ ｅ ， ｉｈ ａｍｓａ ｅ ｕ ｅ ａ ｖ ｒ ｅｅ ｆｃ ｓｏ ｓｅ ｌｒｓａ ｄ ｕ ｏ ｅ ｅ ｖ ｒ ｅ ｔ
Ａｂｓｒ ｃ ： ｅ ｏｌｅｔｅｐｒ ｌｍ ｉｈ ｄｓｒｂ ｅ ｎｒ ｓｏ ｅｅ ｔｏ ａ ｅｗ ｏ ｋａｔｃ ａｎ ｎ ｙｓｅ ｈ ｓ ｔ ａ ｔ Ｔｏｒ ｓ ｖ ｏｂｅ ｗｈ ｃ ｉｔｉｕｔｄｉ ｔｕ ｉｎ ｄ ｔ ｃｉｎ ｎｄｎ ｔ ｒ ｔ ｋｗ ｒ ｉ ｇｓ ｔｍ ａ ｈ ａ
２１年第０ 期 ０１ ７
融合模型一—Ｊ ＤＬ功能模型 ［１ Ｂ ｓ 则基于 Ｊ Ｌ提 出‘一个 １ｏ ａｓ ， ２ Ｄ 了 。
入侵检 测数 据融合模 型 ，这个模 型将 分布式入侵检 测任务 ］ 理 解为在层次化模型 下对 多个传感器 数据 的综合 问题，入侵 检测数 据的融合可以理解为若干级 别的数据提 炼。在这个层 次化模 型 中，入侵检测的数 据源经历 了从数据 （ａａ到信息 Ｄｔ ）
的相似 程度来 融合两个警报 ，通常就是将两个警报 的詹 Ｉ 生进
…
…
一
、
—
—
—
—
图２ 警报信息实时融合处理模型示意图
行 合并。基于相似度 关联 的缺 点是所分析 比较 的警 报信息必
须 具 有共 有属性 ，此外 ，它不能 发现 警报 之 间的因果关 系 ； ＭＩ ＡＤ Ｒ Ｒ Ｏ 设计 的 Ｃ １ Ｒ Ｍ关联检 测模 型是利用一个协同组件 来 实现多个 Ｉ 之 间的协 同，所提出实现方案对 警报 的融合 ＤＳ 处 理是定期 的，不保证系统的实 时性 。 为了克 服上述不足，本文在研究数据融合技术 的基础上 ， 提出卜 个警报信息融合处理模 型。面向警 报流进行处理 ，能 够根据警报信息 问的复杂关系 ， 实时融合来 自异构 Ｉ Ｓ Ｄ 的警报 ， 发现并 实施警报 之间的因果关联 。文 中给 出了建立在该 模型
（ ｆｒ ａｉｎ 再到知识 （ ｎ ｗｅ ｇ） Ｉ ｏｍ ｔ ） ｎ ｏ Ｋ ｏ ｌｄ ｅ三个逻辑抽象层 次。该模 型为数 据融合在人侵 检测方面 的应用 提供了很 好的思路，但 仅 提 出了功 能 层 次 以及 各层应 满 足的处 理 功能 需 求 ，并没
ｌ ｌ
；
ｉ
化 ｉ
可见， 业界亟需研究相关的技术以自 动分析处理来 自 多个异构 ＩＳ Ｄ 的警报信息， 消除重复、 冗余警报， 分析警报之间的复杂关系， 减少误报和漏报带来 的影响，为管理人 员提供关于人 侵行为的高层次视 图， 评估 网络威胁 、预测攻击行为， 辅助决策 和响应。 数据 融合 最早应用于军事，美 国国防部成立的 Ｊ Ｌ（ ｉｔ ｉ ｃ ｒ ｏ Ｌｂｒｔ ｉ ） Ｄ Ｊ ｎ Ｄｒ ｔ ｓ ｆ ａｏ ｏ ｅ 数据融合工作组提出了一 意义下的数据 ｏ ｅ ｏ ａｒｓ 般
Ｐｒ ｃ ｓｉ ｇＴｅ ｈ ｏ ｏ ｙ Ｒｅ ｅ ｒ ｈ ａ ｄ Ｉ ｌｍ ｅ ｔ ｔｏ ｏ ｅ ｓｎ ｃ ｎ ｌ ｇ ｓ ａ ｃ ｎ ｍｐ ｅ ｎ ａ ｉ ｎ
ＤＵＡＮ ａ ｇ ｗｅ ． ＡＮＧ ｎ ． Ｘｉｎ — ｎ Ｙ Ｂｉ ｇ ＺＨＡＮ Ｇ
（ ｃｏｌ Ｃ ｍ ｕ ｒ ｃ ｎｅ ａｉ ａ Ｕ ｉ ｒ ｏＤｆｎｅ ｅｈｏｏ ，ｈ ｎｓａ ｕａ １０３Ｃ ／ ） Ｓｈｏｏ ｏ ｐ ｔ Ｓｉ ｃＮ ｔ ｎｌ ｎ ｅ ｆ ｅ ｓ ｃｎｌ ｙ Ｃ ａｇｈ Ｈ ｎｎ４０７， ｈ ａ ｆ ｅ ｅ ｏ ｖｓ ｅ Ｔ ｇ ｎ
实时融合处理技术研究 与实现
在分析 Ｉ 警报信 息之间的各种复杂 关系的基础上 ， 出了一个警报信 息实时融合 处理模 型 ，并根 据该模 型建立 ＤＳ 提 警报信 息融合 处理 系统。 实时融合来 自多异构 Ｉ 传 感器的警报信 息，形成 关于入侵 事件 的攻击序 列图 ，并在此 ＤＳ 基础 Ｅ 进行 成胁评估及攻击预测 。该模型 中拓展 了漏报推 断功能 ，以减 少漏报 警带来的影响 ， 使得 到的攻击场景 更为 完整。 实验结果表明 ，根据 该模型建 立的融合 处理 系统应 用效 果好 ，具有很 高的准确率和 警报 缩减 率。
２１年第Ｏ 期 １ ７
■ ｄ ｉ１．９ ９． ｓ ６ １１２ ．０ １ ７ １ ｏ：０３ ６ ￣ｉ ｎ１７ －１２２ １． ． ８ ｓ ００
防 网 络 攻 击 警 报 信 息
段祥 雯 ，杨兵 ，张怡
（国防科 学技 术 大学计算机 学院 ，湖南长 沙 ４ ０ ７ ） １０ ３
摘 要： 针对 分布 式入侵检测和 网络安 全预 警所需要 解决的 问题 ， 文章 对多传 感器数据 融合 技术进行 了研 究。
化处 理 后 的警 报 进 入警
１警报之间的复杂关 系
入侵事件之 间的复杂 关系决定了其 触发的 Ｉ Ｓ警报之 间 Ｄ
报 队列 ，定 义时间窗口 Ｔｍ Ｗｉｄｗ（ ｉ ｅ ｎｏ 可设 为 ２秒 ） 算法如下：
３警报信 息实时融合处理 系统实现
以下描述了基于该模型 建立的警报信息实时融 合处
理 系统 主要 部 件 的实 现方 法。表 １ 给出了文 中所提及 的属性及其含义 。
表１属性名及含义对照表
属性名称 属性 代表的含义 ｓ ｉｅ ｔｍ Ｔ 攻击 开始时 间 ｅｄｉｅ ｎ Ｔｍ 攻击结束时 间 ａ ａ ｚ 产生警报的 Ｉ Ｓ ｎｌｅ ｙｒ Ｄ 传感 器 ａｒ ｄ ｌ ｍＩ ａ 警 报唯一性标 识符 ｒ ｒ ｅ 所引用警 报的 ａａ ｄ ｌｒ ｍＩ Ｃａ ｔ Ｏｎ 警 报计数 ＳｃＰ ｒｌ 攻击源 ｌ Ｐ地址 Ｓｃ ｏｔ ｒＰｒ 攻击源端 口地址 Ｄ ｓＰ ｅ Ｉ ｔ 攻击 目 Ｉ 的 Ｐ地址 Ｄ ｓ ０Ｉ ｅｔ ｒ Ｐ 攻击 目的端 口地址 Ｔｍ Ｓａ ｐ ｉｅｔ ｍ 警报 时间戳 警报名