入侵检测中的事件相关性研究

摘要

在入侵检测系统中,对入侵行为的检测与定位通常需要对多个检测代理的事件数据源进行分析,大部分的攻击事件都不是孤立的,相互之间通常存在着某种联系,而这种联系可以抽象为冗余关系和因果关系.目前的大多数入侵检测系统都没有做到攻击事件的关联分析,从而导致警告过滥,增加安全员的管理负担,同时警告的误报率较高.本文针对该问题,结合攻击事件关系的两种基本特征,给出相应的事件关联分析方法,并在此基础上设计出一个入侵事件关联分析的体系结构.