Abstrakt. Traditionella system för att upptäcka intrång (IDS) fokuserar på angrepp på låg nivå eller anomalier, och höjer larmen självständigt, även om det kan finnas logiska samband mellan dem. I situationer där det förekommer intensiva intrång kommer inte bara faktiska varningar att blandas med falska varningar, utan antalet varningar kommer också att bli ohanterligt. Till följd av detta är det svårt för användare eller system för ingripande vid intrång att förstå varningarna och vidta lämpliga åtgärder. Flera kompletterande metoder för varselkorrelation har föreslagits för att ta itu med detta problem. Som en av dessa metoder har vi utvecklat ett ramverk för att korrelera intrångsvarningar med hjälp av förutsättningar för intrång. I detta dokument fortsätter vi detta arbete för att studera genomförbarheten av denna metod för att analysera verkliga, intensiva intrång. I synnerhet utvecklar vi tre verktyg (kallas justerbar graf reduktion, fokuserad analys, och graf sönderdelning) för att underlätta analysen av stora uppsättningar korrelerade varningar. Vi studerar effektiviteten av varning korrelationsmetoden och dessa verktyg genom en fallstudie med nätverkstrafiken fångas vid DEF CON 8 Capture the Flag (CTF) händelse. Våra resultat visar att dessa verktyg kan förenkla analysen av stora mängder varningar, och också avslöjar flera attacker strategier som upprepade gånger användes i DEF CON 8 CTF händelsen.
På grundval av resultatet i detta papper har vi utvecklat tre verktyg som kallas justerbar grafreduktion, fokuserad analys, och graf sönderdelning för att underlätta den interaktiva analysen av stora uppsättningar av intrångsvarningar REF.
Analyzing Intensive Intrusion Alerts via Correlation
{'venue': 'RAID', 'journal': None, 'mag_field_of_study': ['Computer Science']}