60、信息缩减在协作入侵检测代理中的要求剖析

信息缩减在协作入侵检测代理中的要求剖析

1. 无损缩减的基本要求

无损缩减输出需具备以下特性：
- 开放数据与支持数据相结合，应足以满足特定分析代理的正常监控模式需求。
- 覆盖数据可能用于特定分析代理的正常监控模式，但其主要用途是在特定分析代理的警报模式中。为此，覆盖数据必须具备以下属性：
- 正确性 ：若满足警报模式的既定目的，分析代理可从开放数据和覆盖数据中重建原始信息。
- 保密性 ：若尚未满足警报模式的既定目的，分析代理无法从开放数据、支持数据和覆盖数据中确定原始信息。
- 可验证性 ：若分析代理不信任源代理正确执行无损缩减，分析代理能识别覆盖数据对监控模式和警报模式下信息重建的有用性。

2. 开放数据的特定要求

为保证分析代理监控模式的有效性，开放数据需满足特定要求。在生成开放数据时，需要考虑协作入侵检测代理的合作方法。

2.1 合作方法有效性的要求识别

不同的启发式方法用于减少警报数量并保留相关信息，这些方法使用开放输出数据作为操作数，因此开放数据需支持这些操作以获得有用结果。以下是一些关键的启发式方法：
| 启发式方法 | 目标 | 操作要求 |
| — | — | — |
| 警报融合 | 丢弃不同传感器观察同一活动时生成的明显重复警报 | 计算时间戳距离并与常数值比较，测试特征内容是否相等 |
| 警报验证 | 识别无关警报和误报 | 将特征与验证数据库中的条目进行比较 |
| 攻击线程重建 | 表示来