Traditionella system för att upptäcka intrång (IDS) fokuserar på angrepp på låg nivå eller anomalier, och höjer larmen självständigt, även om det kan finnas logiska samband mellan dem. I situationer där det förekommer intensiva intrång kommer inte bara faktiska varningar att blandas med falska varningar, utan antalet varningar kommer också att bli ohanterligt. Till följd av detta är det svårt för användare eller system för ingripande vid intrång att förstå varningarna och vidta lämpliga åtgärder. I detta dokument presenteras en praktisk teknik för att ta itu med denna fråga. Det föreslagna tillvägagångssättet bygger upp attackscenarier genom att koppla samman varningar på grundval av förutsättningar och konsekvenser av intrång. Intuitivt är förutsättningen för ett intrång det nödvändiga villkoret för att intrånget ska lyckas, medan konsekvensen av ett intrång är det möjliga resultatet av intrånget. På grundval av förutsättningarna för och konsekvenserna av olika typer av attacker korrelerar det föreslagna tillvägagångssättet varningar genom att (delvis) matcha konsekvenserna av vissa tidigare varningar och för vissa senare. Bidraget från detta dokument innehåller en formell ram för varningskorrelation, införande av en extern larmkorrelator baserad på ramverket, och utvärdering av vår metod med 2000 DARPA intrångsdetektering scenario specifika dataset. Våra erfarenheter och experimentella resultat har visat den föreslagna metodens potential och dess fördel framför alternativa metoder.
REF korrelerar varningar genom att matcha konsekvenserna av tidigare varningar och förutsättningarna för senare genom hyperalerta korrelationsdiagram baserade på predikat.
Constructing attack scenarios through correlation of intrusion alerts
{'venue': "CCS '02", 'journal': None, 'mag_field_of_study': ['Computer Science']}