段祥雯 肖枫涛

国防科学技术大学计算机学院 湖南 410073

0 引言

警报关联技术是根据IDS警报信息之间往往并非独立的特性，采用一定的算法或分析策略，对警报的某些属性进行分析，以发现警报信息之间的重复、并发、因果、时序等关系，进而根据这些关系重构攻击序列，发现完整入侵事件的技术。

1 警报关联处理技术分类

1.1 基于相似性的关联算法

该类算法主要通过定义相似度函数来计算警报之间的关联特性。算法描述如下：

(1) 对报警信息的共有属性分别定义相似函数。

(2) 定义属性相似期望。相似期望表示对属性相似的先验期望，大小依赖于特定上下文。由于不同的属性对报警信息整体相似度的贡献不同，设置不同属性权值来计算整体相似度。

(3) 定义属性最小相似度。如果某属性的相似度小于最小相似度，则两条报警信息的该属性不具有相似性。

(4) 定义报警相似度阈值域。如果两条报警信息的相似度不在相似度阈值域内，则两条报警不相似。

(5) 计算报警相似度。其计算公式为：Sim(X,Y)=∑EjSim(Xj,Yj)/∑Ej，其中X表示队列中候选报警，Y表示当前新报警，j是报警消息的属性索引，Ej对应于第j个属性的相似期望，表示属性权值，Xj和Yj分别表示报警消息X和Y的第个j属性的值。

实验结果表明，通过该关联分析，可减少50%～60%的警报数据，其缺点是所分析比较的报警信息必须具有共有属性，此外，它也不能发现警报信息之间是否具有因果关系。

采用了原子模型方法：每从IDS接收到一个警报，就与已构建的攻击场景进行概率关联，计算该警报属于已知攻击场景的可能性，把该警报归入可能性最大的攻击场景，如果相似性低于所有已知攻击场景预先给定的阈值，则创建新的攻击场景。……