陈佩，李凤华，李子孚，郭云川，成林

基于规则关联的安全数据采集策略生成

陈佩1,2，李凤华1,2，李子孚1,2，郭云川1,2，成林3

（1. 中国科学院信息工程研究所，北京 100093；2. 中国科学院大学网络空间安全学院，北京 100049；3. 中国信息安全测评中心，北京 100085）

有效的安全数据采集是精准分析网络威胁的基础，当前常用的全采集、概率采集和自适应采集等采集方法，未考虑采集数据的有效性和采集数据的关联关系，消耗过多的资源，其采集收益和成本率低。针对该问题，考虑影响采集收益和成本的因素（节点特征间关系、网络拓扑关系、系统威胁状况、节点资源情况、节点相似度等），设计了一种基于规则关联的安全数据采集策略生成方法。该方法根据节点间的关联规则和系统中所发生安全事件间的关联规则，构建备选采集项，缩减数据采集范围；综合考虑采集收益和采集成本，设计最大化采集收益和最小化采集成本的多目标优化函数，基于遗传算法求解该优化函数。与常用采集方法进行比较和分析，实验结果表明所提方法12 h累计数据采集量较其他方案减少了1 000～3 000条数据记录，数据有效性较其他数据采集方案提升约4%～10%，证明了所提方法的有效性。

策略优化生成；多目标优化；数据协同采集；多关联规则挖掘

1 引言

安全数据指在入侵检测分析过程中通常使用的数据，该类数据可以协助发现系统遭受的威胁，安全数据可以是特定攻击行为的特征、签名或指纹[1]。有效采集安全数据是精准分析网络威胁的基础，数据采集的内容决定了威胁分析的准确性和时效性。……