论文部分内容阅读
针对传统告警聚合与关联方法在合理性和准确性上的不足，提出了基于多级划分思想的告警聚合方法和基于马尔可夫链模型的告警关联方法。首先，使用入侵检测消息交换格式来描述网络告警，利用告警的时序接近关系进行时间窗口的自动扩展，将时间间隔小于预设阈值的告警划分到同一个时间窗内；进而，分别根据攻击类型、时间窗口、子网掩码、IP地址和端口信息依次划分告警，利用属性匹配方法进行子网级、主机级和服务级聚合，有效聚合攻击者利用同一路由器、傀儡主机或服务端口实施攻击而产生的相似告警；在此基础上，利用1阶马尔可夫链模型生成告警关联