24、数据关联分析与安全事件检测

数据关联分析与安全事件检测

1. 随机特征融入报告

在安全事件分析中，可将高度随机的域名（dom to highly random）作为一个特征融入报告。常见的做法是将随机得分与其他非统计特征结合使用，例如以下查询：
- HTTP POST
- 无 HTTP Referer 头
- 域名看起来高度随机

或者类似这样的查询：
- HIPS 事件检测到新系统服务的创建
- 并且满足以下任意一项：
- 服务名称看起来高度随机
- 可执行文件名称看起来高度随机

2. 通过偶然数据进行关联分析

2.1 数据关联的概念

数据之间存在隐藏关系的观点比以往任何时候都更为普遍。在数据科学或大数据的解释（或营销）中，“关联”这个词经常被提及，但很少有人深入探讨其真正含义。虽然声称产品包含用于发现数据中隐藏关联的神奇算法可能更具销售吸引力，但这与现实情况并不完全相符。大多数可操作的报告将基于查看数据中明确关系的查询。明确关系更容易发现、理解，并且不太可能产生误导或误报。

2.2 数据关联的应用场景

特征丰富的数据源通常在数据中存在更多可能的隐藏关系，但即使是像 NetFlow 这样特征较少的数据源，其特征之间也可能存在关联。例如，传输协议（TCP 或 UDP）与端口有一定的相关性。如果知道目标端口是 80，则协议很可能是 TCP 而不是 UDP；如果知道目标端口是 53，则协议很可能是 UDP。

2.3 HTTP 数据中的隐藏关系

HTTP 是一个特征特别丰富的数据源，攻击者常常无法遵循其中的隐藏关