1、入侵檢測是網絡安全防護的重要技術，但目前國內外相關工具產生的安全數據質量很低，需要大量的人工分析。大規(guī)模網絡中安全數據更是數量巨大，一個100Mbps接入的網絡往往每小時可產生10多萬條告警，人工根本不可能及時處理。即使安全事件能夠產生告警，也往往湮沒在大量冗余告警中。如何實時地去除大量冗余告警，提高告警質量是大規(guī)模網絡安全防護亟待解決的問題。 告警事件由規(guī)則、源IP、目的IP、源端口和目端口等多個屬性構成。誤告警是網絡正?；顒?/p>

2、的數據包被普適安全規(guī)則匹配而產生的誤判警示，這類告警與真實告警非常相似，數量巨大，將給后續(xù)關聯(lián)分析和攻擊發(fā)現帶來極大的困難?？刹捎酶婢?guī)則優(yōu)化、告警周期發(fā)現和告警聚合等三種方法來去除誤告警，從而大大減少告警的數量，提高告警的質量。 規(guī)則既能夠產生真實告警也會觸發(fā)誤告警，某些規(guī)則觸發(fā)的大量誤告警會導致安全成本的急劇增加。規(guī)則優(yōu)化模型從經濟效用的角度來分析安全成本與收益之間的平衡關系。根據保護對象的安全需求來優(yōu)化規(guī)則集，決定誤告警概率

3、較大的規(guī)則是否應該去除。同時根據Bayes網絡構造各個規(guī)則的誤告警概率信息網，利用先驗信息對規(guī)則產生的告警進行二次分類，減少誤告警概率。 通過對大規(guī)模網絡入侵檢測系統(tǒng)的告警數據進行分析后發(fā)現，一方面某些告警屬性的分布具有明顯的重尾特性；另一方面這些告警的產生還具有周期性。也就是說，某些告警的屬性往往集中在重尾分布的頭部，導致這些告警也往往具有較穩(wěn)定的周期。告警流識別算法能夠根據重尾分布的特性識別出主要的告警屬性組合，誤告警去除算

4、法根據自相關分析和Fouirer分析方法求出各個屬性組合產生告警的周期，并通過F檢驗進行確認，最后制定相應的規(guī)則去除周期性告警。實驗中能夠去除62.5％的原始告警，通過其它相關分析方法發(fā)現，去除的這些周期性告警都是誤告警。 根據告警的源地址和目地址屬性模式，可把安全事件分為多對一，一對多和一對一三類。告警聚合根據這三種模式設置時間和數量閾值，對告警動態(tài)地進行聚合并產生超級告警。同時判斷觸發(fā)告警的安全事件類型，提出度量指標來評估超