[发明专利]一种基于多源报警日志安全事件特征分析的去冗余方法

摘要

本发明公开了一种基于多源报警日志安全事件特征分析的去冗余方法，属于信息安全技术领域，克服了现有技术中去冗余方案无法有效聚合报警、可能会误删报警、考虑根据属性依赖性调整相似度计算的权重分配的技术问题。本发明的基于多源报警日志安全事件特征分析的去冗余方法，其步骤依次包括(1)离散化报警日志属性；(2)动态分配报警事件属性权值；(3)计算报警安全事件相似度；(4)判断报警安全事件是否冗余。

主权项

一种基于多源报警日志安全事件特征分析的去冗余方法，其特征在于：其步骤依次包括：(1)离散化报警日志属性；(2)动态分配报警事件属性权值；(3)计算报警安全事件相似度；(4)判断报警安全事件是否冗余；所述步骤(1)依次包括：(1.1)属性定义：定义C为条件属性，包括src_ip，dst_ip，src_port，dst_port，sid，分别记为条件属性值Ci(i＝1，2，3，4，5)；定义D为决策属性，包括Scan，Dos，U2R，R2L，Misc，UE六种类别；(1.2)样本空间分类：将样本空间按照Scan，Dos，U2R，R2L，Misc，UE分为六类，分别记为决策属性类Dj(j＝1，2，3，4，5，6)；(1.3)区间构建：根据条件属性值Ci(i＝1，2，3，4，5)分别对每类Dj由大到小进行排序，若样本集中所有样本的C值都不相同，可构造C的n个不同的初始区间，记为I1，I2，……，In，其中，n为样本个数；(1.4)计算合并相邻区间时的信息损耗值Infor_Loss：信息损耗值Infor_Loss的计算方法如下：Infor_Loss＝E(I)－E(Ip+1，Ip+2，……，Ip+m)公式1其中，E(I)表示合并其中m个区间后的信息熵，E(Ip+1，Ip+2，……，Ip+m)表示合并其中m个区间前的信息熵；(1.5)确定区间样本，实现条件属性离散化：合并区间的规则如下：设定一阈值，当信息损耗值Infor_Loss小于该阈值时，则接受该区间的合并；若信息损耗值Infor_Loss大于该阈值时，则放弃此次区间合并；如此得到一个合理的区间样本，实现条件属性C的离散化。