Our techniques work by applying a c

Our techniques work by applying a combination of graph algorithms and Markovian stochastic processes to perform probabilistic analysis as to whether an alarm is a true or false positive. Using these techniques it is possible to significantly reduce the total number of alarms and hosts which must be examined manually, while simultaneously discovering attacks that had previously gone unnoticed. The proposed algorithms are also successful at the discovery of new profiles for multi-stage attacks, and can be used in the automatic generation of meta-alarms, or rules to assist the monitoring infrastructure in performing automated analysis. We demonstrate that it is possible to successfully rank hosts which comprise the vertices of an Alarm Graph in a manner such that those hosts which are of highest risk for being involved in attack are immediately highlighted for examination or inclusion on hot lists. We close with an evaluation of 3 sensor profiling algorithms, and show that the order in which alarms are generated is tightly coupled with whether or not they are false positives. We show that by using time based Markovian analysis of the alarms, we are able to identify alarms which have a high probability of being attacks, and suppress more than 90% of false positives.

Kết quả (Việt) 1:

Kỹ thuật của chúng tôi làm việc bằng cách áp dụng một sự kết hợp của thuật toán đồ thị và Markovian quá trình ngẫu nhiên để thực hiện các phân tích xác suất là để cho dù một báo động là dương tính đúng hay sai. Sử dụng các kỹ thuật này có thể làm giảm đáng kể tổng số của hệ thống báo động và máy chủ mà phải được kiểm tra bằng tay, trong khi đồng thời khám phá cuộc tấn công trước đó đã không được chú ý. Các thuật toán được đề xuất cũng là thành công lúc phát hiện ra các hồ sơ mới cho cuộc tấn công nhiều giai đoạn, và có thể được sử dụng trong tự động thế hệ của meta-báo động, hoặc các quy định để hỗ trợ cơ sở hạ tầng giám sát trong việc thực hiện tự động phân tích. Chúng tôi chứng minh rằng nó có thể xếp hạng thành công máy chủ bao gồm các đỉnh của một đồ thị báo thức trong một cách như vậy mà các máy chủ mà có nguy cơ cao nhất tham gia vào cuộc tấn công ngay lập tức được đánh dấu để kiểm tra hoặc trên danh sách nóng. Chúng tôi gần gũi với một đánh giá về 3 cảm biến profiling thuật toán, và hiển thị thứ tự trong đó máy phát tín hiệu được tạo ra chặt chẽ cùng với có hoặc không họ là dương tính giả. Chúng tôi thấy rằng bằng cách sử dụng thời gian dựa Markovian phân tích của các hệ thống báo động, chúng tôi có thể để xác định hệ thống báo động có một xác suất cao là cuộc tấn công, và ngăn chặn nhiều hơn 90% của quả dương giả.

Kết quả (Việt) 2:

Kỹ thuật của chúng tôi làm việc bằng cách áp dụng một sự kết hợp của các thuật toán đồ thị và quy trình ngẫu nhiên Markov để thực hiện phân tích theo xác suất về việc liệu một báo động là một sự thật hoặc dương tính giả. Sử dụng các kỹ thuật này có thể làm giảm đáng kể tổng số báo động và host đó phải được kiểm tra bằng tay, trong khi đồng thời phát hiện các cuộc tấn công trước đó đã không được chú ý. Các thuật toán được đề xuất cũng là thành công ở việc phát hiện ra các cấu hình mới cho các cuộc tấn công sân khấu đa năng, và có thể được sử dụng trong các hệ tự động của meta-báo động, hoặc các quy tắc để hỗ trợ các cơ sở hạ tầng giám sát trong việc thực hiện phân tích tự động. Chúng tôi chứng minh rằng nó có thể để xếp hạng thành công hosts trong đó bao gồm các đỉnh của một đồ thị và báo động theo một cách thức như vậy mà những người chủ đó là rủi ro cao nhất để được tham gia vào các cuộc tấn công ngay lập tức được đánh dấu để kiểm tra hoặc đưa vào danh sách. Chúng tôi đóng với một đánh giá của 3 cảm biến thuật toán profiling, và cho thấy thứ tự mà trong đó báo động được tạo ra là chặt chẽ với có hay không họ là dương tính giả. Chúng tôi thấy rằng bằng cách sử dụng thời gian phân tích dựa trên Markovian của hệ thống báo động, chúng ta có thể xác định các báo động mà có một xác suất cao là các cuộc tấn công, và ngăn chặn hơn 90% dương tính giả.