59、网络攻击检测与可视化技术解析

网络攻击检测与可视化技术解析

1. 基于启发式主机选择的 IDS 警报可视化与监控

1.1 警报数量分析

在网络安全监控中，警报数量是一个重要的指标。通过对五个主机的警报数量进行六周期的指数移动平均（EMA）和双重指数移动平均（DEMA）分析，可以更清晰地了解主机的活动情况。

主机	EMA 警报数量表现	DEMA 警报数量表现	最终得分情况
host3	前 30 分钟活动中警报率恒定	过滤掉恒定活动	警报数量多但最终得分低于 host4
host4	警报数量呈上升趋势	相应增加	虽警报数低于 host3，但最终得分高
host2	活动最后 10 分钟警报数有小幅度增加	小幅度变化在 DEMA 图中放大	仅 14 个警报增加使排名第一

通过进一步分析，给 DEMA 赋予较高权重（0.7），给 EMA 赋予较低权重（0.3），能够过滤掉警报数量恒定的主机，凸显活动变化大的主机。因为恒定警报数量的主机可能是应用、设