Abstrakt. Intrusion Detection Systems (IDS) används för att övervaka datorsystem för tecken på säkerhetsöverträdelser. Efter att ha upptäckt sådana tecken utlöser IDS varningar för att rapportera dem. Dessa varningar presenteras för en mänsklig analytiker, som utvärderar dem och initierar ett adekvat svar. I praktiken har IDS observerats utlösa tusentals varningar per dag, varav de flesta är falska positiva (dvs. varningar som felaktigt utlösts av välgörande händelser). Detta gör det extremt svårt för analytikern att korrekt identifiera de verkliga positiva (dvs. varningar relaterade till attacker). I detta papper beskriver vi ALAC, Adaptive Learner for Alert Classification, som är ett nytt system för att minska falska positiva i intrångsdetektering. Systemet stöder den mänskliga analytikern genom att klassificera varningar i sanna positiva och falska positiva. Kunskapen om hur man klassificerar varningar lärs in på ett anpassningsbart sätt genom att observera analytikern. Dessutom kan ALAC konfigureras för att behandla autonoma varningar som har klassificerats med stort förtroende. ALAC kan till exempel förkasta varningar som med stort förtroende klassificerats som falskt positiva. På så sätt minskar ALAC effektivt analytikerns arbetsbörda. Vi beskriver en prototypimplementering av ALAC och valet av lämplig maskininlärningsteknik. Dessutom validerar vi ALAC experimentellt och visar hur det underlättar analytikerns arbete.
Pietraszek REF har använt maskininlärning för att klassificera IDS-varningar till sanna och falska positiva.
Using Adaptive Alert Classification to Reduce False Positives in Intrusion Detection
{'venue': 'RAID', 'journal': None, 'mag_field_of_study': ['Computer Science']}