刘威歆，郑康锋，武斌，杨义先

(北京邮电大学 信息安全中心，北京 100876)

1 引言

随着计算机安全成为人们迫切需要解决的威胁问题，告警关联的重要性吸引了越来越多的机构和研究者进行深入研究。在告警分析框架方面，Valeur等[1]提出了一个通用的 pipeline式告警处理流程，包含10个处理阶段，如标准化、告警融合、多步关联和影响分析等，最终输出 Intrusion Reports。Sebastian Roschke等[2]提出了一个基于列式数据库, 告警内存存储和内存索引表的高效而灵活的分布式 IDS告警关联平台，能够应用于不同的IDS 探针和管理系统。梅海彬等[3]提出了基于警报序列聚类的多步攻击模式发现方法，无需依赖大量先验知识，易用性和有效性强。

在告警关系提取方面，攻击图(attack graph)成为了一个很重要的研究方向[4,5]。攻击图是一个强大的分析工具，能够通过汇聚网络中的网络可达性信息、漏洞信息和主机信息，描述网络中的主机之间的网络关系、服务关系和主机上漏洞的相互利用关系。Sushil Jajodia等提出了TVA(topological vulnerability analysis)[6]，此系统包含网络结构和全局漏洞信息，能够模拟渐进的网络渗透，建立完整的攻击场景图，同时能够显示所有网络中的可能路径。Ou等[7]提出了利用 MulVal来进行多主机网络中多步骤攻击的推导，并生成攻击图。

在基于攻击图的告警处理方面，第一个主要问题是对攻击图中的因果相关性的挖掘，现有方法往往是使用单一告警进行因果关系的推断，面临的挑战是攻击者日渐使用更为复杂的攻击手段进行系统的入侵，单源的推断难以应对复杂的多步攻击且不能对告警的因果性做全面的挖掘；……