41、多传感器模型提升自动攻击检测能力

多传感器模型提升自动攻击检测能力

1. 传感器输出冲突问题

在许多典型环境中，传感器输出冲突是一个常见的问题。下面我们来详细探讨几种不同情况。

1.1 未部署互补传感器

在很多情况下，网络中可能只部署了相同类型的传感器。例如，一家公司可能使用两个 Snort 实例来分析几乎相同的流量。这种情况下，相同传感器出现不一致的唯一原因可能是其中一个出现故障。所以，当遇到类似情况时，通常会将其视为攻击的迹象。不过，研究表明，使用多种不同类型的传感器进行攻击检测会更有益。

1.2 “无攻击”与传感器故障的模糊性

即便使用了不同类型的传感器，我们仍然会面临一个问题：传感器未发出警报意味着什么？传感器的状态往往是未知的，一个未发出警报的传感器可能代表两种情况：一是传感器正常工作且未检测到攻击迹象；二是传感器出现故障，无法可靠地检测攻击。而且，直接观察很难确定传感器的稳定状态，传感器检测攻击的条件也可能动态变化。例如，网络入侵检测系统（IDS）可能对单个加密的 Web 请求或绕过它的请求毫无察觉。由于不清楚传感器的状态，操作人员不能仅仅因为只有一个传感器发出警报就轻易忽视它。

1.3 缺少详细的传感器警报信息

假设我们知道两个传感器都正常工作，但它们报告了相互冲突的证据。在没有关于传感器具体细节以及其产生误报倾向的详细信息时，我们无法自动决定该相信哪个传感器。甚至可能都不知道某个警报是否缺失。在没有传感器模型的情况下，这个决策只能交给人工操作员。

1.4 通用性优先

许多关联技术试图将属于同一攻击的警报进行分组，以减轻安全操作员的工作负担。由于关联技术是在大多数入