Abstract-Osäkerhet är ett medfött inslag i intrångsanalys på grund av de begränsade vyer som tillhandahålls av systemövervakningsverktyg, system för att upptäcka intrång (IDS) och olika typer av loggar. Angripare är i huvudsak osynliga i cyberrymden och övervakningsverktyg kan bara observera symptom eller effekter av skadliga aktiviteter. När de blandas med liknande effekter från normala eller icke-skadliga aktiviteter leder de intrångsanalys till slutsatser om varierande självförtroende och höga falska positiva/negativa nivåer. I detta dokument presenteras ett empiriskt förhållningssätt till problemet med osäkerhet, där de indikerade säkerhetskonsekvenserna av observationer på låg nivå fångas upp på ett enkelt logiskt språk som förstärks med säkerhetsmärkningar. Vi har utformat en automatiserad resonemangsprocess som gör det möjligt för oss att kombinera flera källor av systemövervakningsdata och extrahera högkonfidentiella angrepp spår från de många möjliga tolkningar av lågnivåobservationer. Vi har utvecklat vår modell empiriskt: utgångspunkten var ett verkligt intrång som hände på ett campusnätverk som vi studerade för att fånga kärnan i den mänskliga resonemangsprocessen som ledde till slutsatser om attacken. Vi använde sedan ett Datalog-liknande språk för att koda modellen och ett Prolog-system för att utföra resonemangsprocessen. Vårt modell- och resonemangssystem kom fram till samma slutsatser som den mänskliga administratören i frågan om vilka maskiner som säkerligen kom i fara. Vi genererade sedan automatiskt den resonemangsmodell som behövs för att hantera Snort-varningar från de naturliga språkbeskrivningarna i Snorts regelarkiv, och utvecklade ett Snort-tillägg för att analysera Snort-varningar. Vi höll resonemangsmodellen oförändrad och tillämpade vårt resonemangssystem på två datamängder från tredje part och ett produktionsnätverk. Våra resultat visade att resonemangsmodellen är effektiv även på dessa datamängder. Vi anser att ett sådant empiriskt tillvägagångssätt har potential att kodifiera det till synes ad-hoc mänskliga resonemanget av osäkra händelser, och kan ge användbara verktyg för automatiserad intrångsanalys.
Xinming m.fl. I Ref föreslogs ett empiriskt tillvägagångssätt för problemet med osäkerhet, där de infererade säkerhetskonsekvenserna av observationer på låg nivå fångas upp på ett enkelt logiskt språk som förstärks med säkerhetsmärkningar.
An Empirical Approach to Modeling Uncertainty in Intrusion Analysis
{'venue': '2009 Annual Computer Security Applications Conference', 'journal': '2009 Annual Computer Security Applications Conference', 'mag_field_of_study': ['Computer Science']}