基于入侵檢測漏洞掃描聯(lián)動機制攻擊場景模型.pdf

1、漏洞掃描和入侵檢測是當(dāng)今網(wǎng)絡(luò)安全的主流技術(shù)。網(wǎng)絡(luò)漏洞掃描可發(fā)現(xiàn)網(wǎng)絡(luò)的安全脆弱點，并給出相應(yīng)的修補的措施，能夠在被黑客攻擊前做到先堵住漏洞，使網(wǎng)絡(luò)安全工作做到防忠于未然。而入侵檢測系統(tǒng)對網(wǎng)絡(luò)傳輸進(jìn)行即時監(jiān)視，在發(fā)現(xiàn)可疑數(shù)據(jù)時發(fā)出報警，及時地發(fā)現(xiàn)入侵行為。 然而，漏洞掃描器和入侵檢測系統(tǒng)都存在缺陷，首先是誤報和漏報的問題。對于漏洞掃描，一是掃描器是定時執(zhí)行，不是實時監(jiān)控，而產(chǎn)生漏報。二是當(dāng)掃描大規(guī)模網(wǎng)絡(luò)時，漏洞信息也很龐大，掃描到的

2、一些隱患在真實黑客攻擊中很難利用，沒有實際意義，而產(chǎn)生誤報。而對于入侵檢測，海量報警和重復(fù)報警是產(chǎn)生誤報和漏報的原因。入侵檢測系統(tǒng)每天產(chǎn)生成千上萬條報警使得安全管理員疲于奔命，同時由于其中大部分是無關(guān)緊要的、或重復(fù)的報警。同時，漏洞掃描和入侵檢測的另一個共同的缺陷就是沒有對漏洞信息和入侵報警進(jìn)行相關(guān)分析。 針對上述問題，本文提出了一種基于入侵檢測和漏洞掃描聯(lián)動機制的攻擊場景構(gòu)建模型。該模型一個重要特點是，針對漏洞掃描和入侵檢測的

3、漏報和誤報問題，提出了將兩者進(jìn)行聯(lián)動的機制。該模型的另一個重要特點是，從兩個方面構(gòu)建攻擊場景，一是通過漏洞分析生成攻擊圖，一是通過報警關(guān)聯(lián)構(gòu)建攻擊場景。我們可以用構(gòu)建的攻擊場景來表達(dá)多步驟攻擊的狀況。在漏洞分析方面，我們通過Prolog語言描述的規(guī)則來自動生成攻擊圖。在入侵報警分析方面，入侵報警經(jīng)過信息標(biāo)準(zhǔn)化，報警聚類，最后利用著色Petri網(wǎng)構(gòu)建攻擊場景。其中，報警聚類的方法也可以有效地降低入侵檢測重復(fù)報警的問題。最后我們用實驗來說明