计算机应用

作者：王淳颖, 张驯, 赵金雄, 袁晖, 李方军, 赵博, 朱小琴, 杨凡, 吕世超

单位：1. 北京大学 软件与微电子学院, 北京 102600;2. 中国科学院信息工程研究所 物联网信息安全技术北京市重点实验室, 北京 100093;3. 国网甘肃省电力公司电力科学研究院, 兰州 730070;4. 国网甘肃省电力公司, 兰州 730030

关键词：多源告警,告警聚类,关联规则,序列模式挖掘,多阶段攻击事件

基金：国家自然科学基金重点项目（U1766215）；国家电网公司总部科技项目（522722180007）。

为解决多源告警中的复杂攻击难以被发现的问题，提出一种攻击序列模式挖掘算法。利用正则表达式匹配告警，将多源告警规范化为统一格式。对冗余告警信息进行压缩，利用强关联规则训练得到的规则集聚合同一阶段的告警，有效去除冗余告警，精简告警数量。利用滑动窗口对聚合后的告警进行划分得到候选攻击事件数据集，通过改进的PrefixSpan算法挖掘得到多阶段攻击事件的攻击序列模式。实验结果表明，该算法在不依赖专家知识的前提下，能够准确并高效地分析告警相关性，还原攻击事件中的攻击步骤。相比传统PrefixSpan算法，提出的改进算法的攻击模式挖掘效率提升了48.05%。

来源：2020年第1期

《计算机应用》期刊编辑部

查看计算机应用杂志2020年第1期