مقاله انگلیسی یک روش همبستگی هشدار برای سیستم های تشخیص نفوذ (2020 الزویر)

هشدار همبستگی فرایند تجزیه و تحلیل هشدارها برای کاهش تعداد آنها ، از بین بردن مثبت های کاذب ، تشخیص سناریوهای پشت سر آنها و ایجاد چشم انداز بالاتر از حوادث است. انجام این فرآیند به صورت آنلاین ، نقش کلاسیک همبستگی هشدار را از یک مرحله پس از فرآیند به بخش اصلی سیستم های تشخیص نفوذ ارتقا خواهد داد. در این مقاله ، ما یک مدل دو فاز جدید بنام یک روش همبستگی هشدار در زمان واقعی و مبتنی بر کدهای کتاب (RACC) برای سیستم های تشخیص نفوذ پیشنهاد می کنیم. ابتدا ، در مرحله آفلاین ، RACC یک پایگاه دانش را از قبل پردازش می کند تا برخی ماتریس ها را به عنوان ساختار داده اصلی متدی که ما آنها را کدی بوک می نامیم ، پیشنهاد کنیم. به جای نگه داشتن هشدار در حافظه ، این ماتریس ها فقط کلیدهای هشدار متا مربوطه را نگه می دارند. برای دستیابی به عناصر ماتریس از شاخصی که بر درختان قرمز سیاه استوار استفاده می شود. تولید ماتریس ها و شاخص های ذکر شده مستقل از هشدارها هستند ، بنابراین استفاده از آنها می تواند فرآیند همبستگی هشدار را به صورت آنلاین در فاز دوم مدل پیشنهادی تسهیل کند. آزمایش ها نشان می دهد که در مقایسه با روشهای مشابه ، RACC می تواند زمان همبستگی هشدار را به میزان قابل توجهی کاهش دهد و می تواند همبستگی هشدار را در زمان واقعی فعال کند.

1. مقدمه

با افزایش استفاده از اینترنت و شبکه رایانه ای ، تهدیدات امنیتی بیشتر می شود. ظهور فن آوری های مدرن مانند تلفن همراه یا اینترنت اشیاء (IoT) و موضوعات آنها که در ادبیاتی مانند [1] و [2] مورد مطالعه قرار گرفته اند ، بر چشم انداز سایبری تأثیر می گذارد. با تحولات حملات سایبری ، تکامل سیستم های حفاظتی نیز مهم است. سیستم تشخیص نفوذ (IDS) یکی از مهمترین ابزارها برای جلوگیری از نفوذ به شبکه های رایانه ای است. در ادبیات ، هرگونه فعالیتی برای تضعیف محرمانه بودن ، یکپارچگی ، دسترسی یا تلاش برای دور زدن مکانیسم های امنیتی یک شبکه رایانه ای ، نفوذ نامیده می شود [3]. در مقابل ، تشخیص نفوذ ، فرایند نظارت بر حوادث در یک سیستم کامپیوتری یا شبکه و تجزیه و تحلیل آنها برای یافتن علائم یک نفوذ است. هر نرم افزار یا سیستم سخت افزاری یا ترکیبی از هردوی آنها که وظیفه شناسایی نفوذها را دارند ، به عنوان سیستم تشخیص نفوذ شناخته می شود.

توجه؛ (این ترجمه توسط نرم افزار انجام شده و ویرایش نشده است و احتمال وجود اشتباه در آن وجود دارد. در صورت ثبت سفارش، ترجمه توسط مترجمین مجرب انجام خواهد شد. برای مشاهده نمونه ترجمه های تخصصی و اخیر مترجمین جهت اطمینان از کیفیت ترجمه، اینجا کلیک نمایید.)

Abstract

Alert Correlation is the process of analyzing alerts to reduce their number, eliminate false positives, detect the scenarios behind them and generate a higher perspective of the incidents. Making this process online will upgrade the classic role of alert correlation from being a post-process step to a key part of intrusion detection systems. In this article, we propose a novel two-phase model called a Real-time Alert Correlation method based on Code-books (RACC) for intrusion detection systems. First, in the offline phase, RACC pre-processes a knowledge base to propose some matrices as the main data structure of the method that we call them code-books. Instead of keeping alerts in the memory, those matrices just hold keys to the corresponding meta-alerts. An index that is based upon red-black trees is used to access matrix elements. Generating the matrices and mentioned index are independent from the alerts, so utilizing them can facilitate the alert correlation process in an online manner in phase two of the proposed model. The experiments show that compared to similar methods, RACC can significantly reduce the alert correlation time and can enable real-time alert correlation.

1.Introduction

As the Internet and computer network usage grows, security threats become more frequent. Appearance of modern technologies like mobile or Internet of Thing (IoT) and their issues which are studied in literatures like [1] and [2], affects cyberthreat landscape. As cyber-attacks evolve, it is important to evolve protection systems as well. Intrusion Detection System (IDS) is one of the most important tools to prevent intrusion into computer networks. In literature, any activity to undermine the confidentiality, integrity, accessibility, or attempting to circumvent security mechanisms of a computer network is called intrusion [3]. In contrast, intrusion detection is the process of monitoring the incidents in a computer system or network and analyzing them to find the signs of an intrusion. Any software or hardware system or combination of both of them which is responsible to detect intrusions, is known as intrusion detection system.