67、实现 SIEM 系统中事件关联的语义方法

实现 SIEM 系统中事件关联的语义方法

1. 相关工作

信息自动关联是计算机安全领域研究热点，语义方法有形式化和可扩展知识表示能力、可判定推理等优势。以下是一些使用本体的相关研究：
| 研究团队 | 研究内容 |
| — | — |
| Undercoffer 等 | 提出以目标为中心的本体，根据攻击策略对计算机攻击建模，从目标系统组件、攻击工具、攻击后果和攻击者位置分类 |
| Wang 等 | 提出漏洞管理本体（OVM），包含漏洞、受影响产品、后果和对策等概念 |
| Azevedo 等 | 提出计算机安全领域的领域本体 CoreSec，作为构建其他特定安全领域本体的基础 |
| Gao 等 | 提供基于本体的攻击模型，从攻击角度评估信息系统安全，包括攻击影响、攻击向量、攻击目标、漏洞和防御五个维度 |
| Tang 等 | 提出基于本体的方法解决安全策略的语义描述和验证问题 |
| Choi 等 | 提出 Onto - ACM 语义分析模型，解决服务提供商和用户之间允许的访问控制差异问题 |
| Wang 等 | 使用本体进行移动安全威胁分析和制定防御策略，基于语义推理识别攻击特征并克服攻击成功概率的不确定性 |

2. 基于本体的警报关联规范和推理

2.1 入侵检测中的知识表示

入侵检测环境存在检测率低、误报率高和信息粒度差等问题，相关社区为威胁和攻击表示标准化做了很多努力，产生了 IDMEF、TAXII、STIX 等数据形式，用于安全工具间的开放通信。一些重要的知识表示模型如下：
- M2D2 ：关系模型，