[发明专利]基于隐马尔可夫模型的网络入侵场景构建方法

摘要

本发明涉及一种基于隐马尔可夫模型的网络入侵场景构建方法，它主要包括入侵报警数据的预处理、报警数据的关联分析和入侵场景构建。其中报警数据预处理的目的在于聚合冗余报警，压缩报警数据集，消除大量重复报警的影响，为报警数据关联分析做好充分的准备。本发明用攻击本体和隐马尔可夫模型对网络攻击行为进行建模，保证模型对网络攻击类型的描述和攻击过程的描述满足合理性和完备性要求。同时，将报警数据的关联分析问题转变为隐马尔可夫模型的解码问题，用改进的Viterbi算法对问题进行求解，分析结果准确度高。对于关联分析结果，按照一定的约束条件进行回溯处理，构建符合实际网络攻击过程的入侵场景。

主权项

1、一种基于隐马尔可夫模型的网络入侵场景构建方法，其步骤如下：1.1、入侵报警数据预处理利用改进的报警聚合方法对原始报警数据进行预处理：首先计算原始报警数据的报警时间、报警名、端口号和IP地址属性之间的差异度，而后通过加权求和的方法得到原始报警之间的整体差异度，按照报警数据的整体差异度对原始报警数据进行聚类分析，得到超报警；1.2、报警关联1.21、描述网络攻击的隐马尔可夫模型将预处理阶段得到的超报警序列作为隐马尔可夫模型的观察值；将攻击本体中定义的抽象攻击作为隐马尔可夫模型的隐藏状态；1.22、利用改进的Viterbi算法进行关联分析，得到代表抽象入侵场景的状态转移序列；1.3、通过回溯处理构建入侵场景对这些状态转移序列按时序和逻辑约束条件进行回溯处理得到入侵场景。