搜索

[692] 2019-09-23_基于日志分析的攻击检测和场景还原相关技术

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-16
2019-09-23_基于日志分析的攻击检测和场景还原相关技术 基 于 日 志 分 析 的 攻 击 检 测 和 场 景 还 原 相 关 技 术 A r k T e a m   A r k T e a m   2 0 1 9 - 0 9 - 2 3 作 者 ： { J S N } @ A r k T e a m 原 文 作 者 ： 何 波 原 文 题 目 ： 基 于 日 志 分 析 的 网 络 异 常 行 为 检 测 关 键 技 术 研 究 原 文 来 源 ： 何 波 .   基 于 日 志 分 析 的 网 络 异 常 行 为 检 测 关 键 技 术 研 究 [ D ] . 中 国 民 航 大 学 , 2 0 1 6 . 随 着 网 络 环 境 的 日 益 复 杂 ， 攻 与 防 的 技 术 在 相 互 竞 争 中 不 断 发 展 。 近 年 来 ， 入 侵 检 测 系 统 （ I n t r u s i o n   D e t e c t i o n   S y s t e m , I D S ） 不 断 发 展 更 新 ， 但 是 仍 然 存 在 较 高 的 误 报 率 、 漏 报 率 。 学 界 和 业 界 对 I D S 进 行 优 化 的 研 究 从 来 没 停 止 过 ， 这 其 中 针 对 I D S 日 志 信 息 进 行 数 据 挖 掘 、 关 联 分 析 是 一 个 很 重 要 的 方 向 。 随 着 攻 击 方 式 的 增 加 ， 攻 击 过 程 也 越 来 越 复 杂 ， 此 时 简 单 的 针 对 单 一 设 备 日 志 分 析 发 现 隐 蔽 和 复 杂 攻 击 的 能 力 有 限 ， 尤 其 针 对 机 场 这 样 同 时 有 较 多 信 息 系 统 同 时 运 行 的 企 业 部 门 ， 单 一 设 备 日 志 分 析 很 难 完 全 发 现 针 对 性 的 复 杂 攻 击 ， 所 以 非 常 有 必 要 对 应 用 系 统 、 操 作 系 统 、 防 火 墙 、 I D S 等 各 种 系 统 日 志 来 进 行 综 合 性 的 分 析 以 便 发 现 更 加 复 杂 隐 蔽 的 攻 击 过 程 与 方 式 。 文 章 提 出 了 一 种 基 于 攻 击 图 的 入 侵 检 测 方 法 ， 能 够 将 网 络 中 多 种 设 备 日 志 信 息 作 为 攻 击 图 的 数 据 来 源 ， 通 过 将 各 设 备 信 息 进 行 统 一 建 模 增 加 入 侵 检 测 过 程 中 的 攻 击 场 景 还 原 能 力 ， 能 够 更 加 完 整 地 展 现 攻 击 过 程 步 骤 以 及 提 高 入 侵 检 测 的 检 测 率 。 一 、 多 源 攻 击 图 概 念 和 术 语 一 、 多 源 攻 击 图 概 念 和 术 语 攻 击 头 节 点 ： 用 来 标 识 攻 击 过 程 ， 每 个 攻 击 头 结 点 都 可 唯 一 表 示 一 个 攻 击 过 程 ， 结 构 如 下 。 图 1 . 1   攻 击 头 节 点 结 构 警 告 节 点 ： 通 过 对 来 源 于 不 同 设 备 的 警 告 日 志 进 行 收 集 、 归 一 化 处 理 后 ， 可 以 将 所 有 不 同 设 备 的 日 志 信 息 组 织 成 统 一 结 构 的 警 告 节 点 ， 其 中 每 个 节 点 的 威 胁 等 级 及 威 胁 指 数 均 来 自 产 生 该 警 告 的 设 备 本 身 。 结 构 如 下 。 图 1 . 2   警 告 节 点 结 构
二 、 攻 击 图 构 建 过 程 二 、 攻 击 图 构 建 过 程 根 据 攻 击 事 件 将 多 个 来 源 于 不 同 设 别 的 警 告 按 照 时 间 先 后 顺 序 组 织 成 一 个 完 整 的 攻 击 场 景 ， 根 据 攻 击 事 件 类 型 将 同 一 类 型 的 攻 击 场 景 进 行 融 合 ， 使 得 同 一 类 型 的 攻 击 场 景 只 保 留 一 个 经 融 合 后 的 攻 击 过 程 ， 以 便 确 定 一 类 攻 击 过 程 成 立 所 需 的 最 低 威 胁 值 。 例 如 一 个 攻 击 类 型 A （ w o r m ） 有 三 个 攻 击 场 景 ： 图 2 . 1   攻 击 类 型 A 的 三 种 攻 击 场 景 经 文 中 提 出 的 公 式 计 算 ， 得 出 攻 击 头 节 点 、 警 告 节 点 的 威 胁 值 ， 然 后 进 行 攻 击 场 景 融 合 ， 合 成 一 个 攻 击 场 景 后 如 下 ： 图 2 . 2   场 景 融 合 后 攻 击 类 型 A 的 攻 击 场 景 最 终 经 过 对 多 个 攻 击 场 景 的 融 合 汇 总 ， 多 个 攻 击 场 景 构 成 完 整 的 攻 击 图 ， 攻 击 图 中 不 仅 包 含 了 各 个 攻 击 场 景 所 需 要 的 设 备 警 告 类 型 ， 同 时 也 包 含 了 该 类 警 告 所 需 的 最 小 威 胁 值 ， 这 样 有 助 于 屏 蔽 掉 一 些 威 胁 值 较 低 的 虚 假 警 告 ， 提 高 入 侵 检 测 的 检 测 效 率 。 三 、 攻 击 识 别 三 、 攻 击 识 别 可 疑 攻 击 队 列 是 由 新 设 备 警 告 构 成 ， 尚 不 能 确 定 但 是 又 与 攻 击 图 中 某 些 攻 击 场 景 部 分 匹 配 的 警 告 组 成 的 链 表 形 式 的 队 列 。 每 种 设 备 都 有 相 应 的 可 疑 攻 击 队 列 ， 当 有 新 警 告 产 生 时 ， 都 会 与 攻 击 图 中 相 应 设 备 的 警 告 链 比 对 ， 如 果 图 中 包 含 该 类 警 告 ， 且 威 胁 等 级 满 足 最 低 要 求 ， 则 将 该 警 告 加 入 可 疑 攻 击 队 列 ， 多 个 可 疑 攻 击 队 列 最 终 组 织 成 如 下 的 可 疑 攻 击 队 列 图 。
图 3 . 1   可 疑 攻 击 队 列 图 具 体 攻 击 图 生 成 算 法 可 以 参 考 原 文 。 四 、 实 验 结 果 和 分 析 四 、 实 验 结 果 和 分 析 现 有 的 基 于 攻 击 图 的 入 侵 检 测 方 法 大 都 基 于 D A R P A 的 入 侵 检 测 评 估 数 据 集 进 行 验 证 ， 该 数 据 集 包 含 了 多 种 不 同 类 型 攻 击 的 完 整 攻 击 序 列 ， 然 而 该 数 据 集 中 并 没 有 网 络 中 其 他 设 备 相 关 的 警 告 信 息 ， 且 其 他 同 类 数 据 集 中 都 没 有 包 含 其 他 设 备 信 息 ， 所 以 为 了 对 所 提 方 法 进 行 验 证 ， 作 者 在 内 网 自 己 搭 建 相 应 的 实 验 环 境 进 行 验 证 。
图 4 . 1   实 验 网 络 拓 扑 图 实 验 过 程 中 使 用 常 用 的 攻 击 工 具 针 对 实 验 环 境 中 能 够 利 用 的 一 些 常 见 漏 洞 进 行 模 拟 攻 击 。 通 过 对 攻 击 发 动 过 程 中 收 集 的 各 类 设 备 警 告 进 行 分 析 ， 最 终 收 集 各 类 警 告 共 1 2 6 2 8 条 。 按 攻 击 过 程 进 行 汇 总 后 ， 针 对 1 3 3 次 不 同 攻 击 有 效 警 告 2 1 8 1 条 ， 汇 总 成 有 效 攻 击 场 景 后 共 有 警 告 8 1 8 条 ， 其 中 来 自 I D S 警 告 3 6 2 条 。 根 据 1 3 3 次 攻 击 可 初 步 形 成 1 3 3 个 攻 击 场 景 ， 其 中 1 0 0 个 作 为 训 练 集 ， 剩 余 3 3 个 作 为 验 证 集 。 将 上 述 攻 击 场 景 中 的 1 0 0 个 作 为 训 练 集 ， 根 据 1 3 种 常 见 攻 击 类 型 进 行 攻 击 场 景 融 合 。
图 4 . 2   攻 击 场 景 还 原 图 相 较 于 因 果 关 联 分 析 方 法 以 及 普 通 攻 击 图 方 法 ， 该 方 法 能 根 据 各 设 备 警 告 呈 现 攻 击 过 程 ， 对 攻 击 场 景 的 还 原 更 加 完 整 。 为 了 模 拟 I D S 漏 报 警 告 ， 在 随 机 减 少 I D S 的 警 告 的 情 况 下 再 进 行 实 验 ， 前 两 种 方 法 会 因 警 告 的 不 足 造 成 攻 击 场 景 的 分 裂 ， 不 能 很 好 地 进 行 攻 击 场 景 还 原 ， 而 文 章 提 出 的 方 法 因 为 使 用 多 种 设 备 来 源 的 警 告 ， 在 I D S 有 漏 报 时 其 他 设 备 警 告 能 帮 助 识 别 攻 击 过 程 从 而 进 行 攻 击 场 景 的 还 原 ， 提 高 攻 击 的 识 别 率 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理