一种基于报警关联分析的未知攻击场景检测方法

摘要

本发明公开了一种基于报警关联分析的未知攻击场景检测方法，包括：(1)预处理多源海量的入侵报警，生成报警集合；(2)聚合步骤(1)生成的报警集合，生成初始攻击序列集合；(3)关联分析步骤(2)生成的初始攻击序列集合，生成多步骤攻击规则集合；(4)将步骤(3)生成的多步骤攻击规则集合与已有攻击规则进行相似度分析，实时添加攻击规则，生成入侵检测系统中的新攻击规则库；(5)入侵检测系统根据新攻击规则库对入侵行为进行入侵检测。本发明提供的方法能有效解决现有入侵检测系统报警信息数量大、内容零碎的问题；实现IDS报警的关联场景构建；实现自动化添加规则。