面向间隔告警的多步网络攻击定量关联方法

为准确判断复杂多步攻击的意图和下一步攻击行为,需要对入侵告警进行定量关联分析。针对复杂多步攻击产生的告警在序列中经常间隔出现的实际,提出一种间隔告警定量关联方法。利用一阶马尔可夫性质建立告警关联模型,定量地表示攻击者选择不同攻击路径的可能性,利用Apriori频繁序列挖掘算法得出频繁告警2-序列的支持度,将归一化的序列支持度作为马尔可夫链的一步转移概率。利用DARPA2000真实网络数据集进行实验,实验结果表明,该方法对复杂多步攻击告警的关联准确率优于传统方法。