En av de mest kontroversiella frågorna när det gäller att upptäcka intrång är att automatisera reaktioner på intrång, vilket kan ge ett effektivare, snabbare och exaktare sätt att reagera på en pågående attack än en människa. Det har dock flera nackdelar som kan leda till resursslöseri, vilket hittills har förhindrat ett brett accepterande av automatiska svarsaktiverade system. Vi anser att det behövs en strukturerad strategi för att ta itu med problemet som kommer att ta hänsyn till de ovan nämnda nackdelarna. I detta arbete beskriver vi kortfattat vad som har gjorts på området tidigare. Sedan börjar vi ta itu med problemet genom att koppla ihop automatiserad respons med specifikationsbaserad, värdbaserad intrångsdetektering. Vi beskriver systemkartan och den kartbaserade actionkostnadsmodellen som ger oss grunden för beslut om svarsstrategi. Vi visar också processen att avbryta attacken, och utforma den optimala svarsstrategin, även i närvaro av osäkerhet. Slutligen diskuterar vi implementeringsfrågor, vår erfarenhet av den tidiga automatiserade responsagentprototypen, Automated Response Broker (ARB), och föreslår ämnen för ytterligare forskning.
Balepin REF följde idén och utvecklade en kostnadsmodell för att resonera automatiserat svar på värdnivå, och denna kostnadsmodell kan välja ett optimalt svar även i närvaro av osäkerhet.
Using Specification-Based Intrusion Detection for Automated Response
{'venue': 'RAID', 'journal': None, 'mag_field_of_study': ['Computer Science']}