11、入侵检测系统与恶意软件行为检测技术解析

入侵检测系统与恶意软件行为检测技术解析

1. 入侵检测系统的运行时监控与动态重构

1.1 场景特定选择对警报数量的影响

在无关流量中，不同的挑战插入方式会对入侵检测系统的警报数量产生影响。通过对72个时长为5分钟的观察间隔进行统计，得到如下结果：
| 插入方式 | 假阴性 [# 警报] | 假阳性 [# 警报] | 真阳性 [# 警报] |
| — | — | — | — |
| 中性挑战插入 | 39 | 201 | 146 |
| 特定案例插入 | 37 | 249 | 161 |

从表格数据可以看出，特定案例插入时，系统生成的警报数量有所增加，假阳性数量增加了约50，真阳性数量增加了15，假阴性数量减少了2。由于可能存在警报碎片化的情况，总警报数量不一定相同。总体而言，为了检测服务器被入侵场景中的关键攻击（如密码暴力破解），系统能够提高其灵敏度，并找到具有不同检测配置文件的新平衡。此外，大多数假阳性是难以预测的流量结构的重复出现，约80%的假阳性可以通过警报处理引擎中少于20条规则来消除。

1.2 相关工作对比

• 攻击结构建模 ：虽然文献中提出了比攻击树更复杂的形式化方法，如攻击图和攻击语法，但对于当前的目的，攻击树形式化已经足够丰富，因为不需要考虑攻击计划的执行顺序或攻击之间的关系。
• 桌面网格计算中的抽查 ：在桌面网格计算中，抽查用于确保外包计算的主机返回正确结果。Staab等人展示了如何为给定数量的真实请求确定最佳的挑战数量，他们主要关注挑战或真实请求答案为二进制的情况，而当前工作扩展到了