[发明专利]基于隐马尔可夫模型的网络入侵场景构建方法

说明书

技术领域

本发明涉及一种基于隐马尔可夫模型的网络攻击场景构建方法，包括报警数据的预处理、报警数据的关联分析和入侵场景构建三个完整的阶段。

背景技术

通过对入侵报警进行关联分析，进而构建入侵场景是入侵检测技术发展的一个新方向，从2000年左右开始在入侵检测技术领域受到关注。目前已提出了大量的分析方法，主要可以分为报警聚类方法和关联分析方法，其中关联分析方法又可以分为基于攻击规划库的报警关联方法和基于攻击行为建模的报警关联方法两类。

报警聚类(clustering)方法属于最初级的关联分析，通过报警属性值之间的相似性对报警进行聚类，使得属于同一聚类的报警具有相同的特性，然后选择一个抽象的“元报警”事件作为该聚类的代表元。在已有技术中，《通信学报》2005年4期提供了一种BPCRISM模型，按照报警信息各个属性的数据类型将其分为布尔型、枚举型和数值型，通过计算欧氏距离得到属性之间的差异度。计算报警alert_i和aleer_j的上述三个属性的差异度公式为；

dij(detectTime,srcPort,dstPort)=(wdetectTime|detectTimei+detectTimej|2+]]>

wsrcPort|srcPorti-srcPortj|2+wdstPort|dstPorti-dstPortj|2)1/2]]>

其中detectTime、srcPort和dstPort分别对应于原始报警的时间戳、源端口号和目的端口号。w_detectTime、w_srcPort和w_dstPort分别为各属性在差异度计算中的权重，由专家经验给出。

此类方法存在的问题是：

不能够完全揭示出相关报警之间的因果关系，无法对报警反映的高层攻击策略给出清晰的解释，也无法预测攻击者的目的和可能的后续攻击。