兩類型入侵偵測攻擊圖與警報關連配對之研究

Abstract

網路攻擊與軟體漏洞（Vulnerability）近年來快速成長，修補甚至預防系統漏洞的工作愈顯重要，尤其在雲端環境中，系統管理者無法有效地逐一檢視大量虛擬機器，並找出潛在的安全漏洞；因此，自動化安全分析工具成為許多專家學者之研究方向與目標。網路攻擊的產生可能源於系統環境參數設定瑕疵，或提供網路服務之軟體本身存在系統漏洞。攻擊圖（Attack Graph）即為掃描現有系統架構之設定後，繪製網路攻擊策略圖，協助管理者針對系統弱點進行修補，提高網路安全之可靠性。入侵偵測系統（Intrusion Detection System）為一種檢驗網路封包內容之工具，若封包內容符合攻擊特徵，將產生對應警報並通知系統管理員。攻擊圖通常與警報關聯有著相互依存的關係。攻擊圖依產生方式概略可分成兩類，本研究擬進行探討與說明。第一類是以系統本身產生的漏洞（Vulnerability）為繪製攻擊圖的依據。第二類是依入侵偵測系統產生的警報為主體所繪製之攻擊情境（Attack Scenario）。本研究在第一類型中運用現有攻擊圖產生工具繪製攻擊圖後，將入侵偵測器產生之警報與攻擊圖配對，當網路攻擊發生時，可藉由警報所對應的節點，得知可能的攻擊過程與進度，達到預測或預防多步驟網路攻擊的效果。警報與攻擊圖配對之結果能用於警報分類，做更進一步之分析應用。而在第二類的研究中則介紹警報關聯之方法概念，利用警報與警報之間的前後關係，分析出攻擊者可能的入侵攻擊策略。