PRISM：面向大规模网络的分层入侵检测架构
密码学与安全
2023-02-01 v2
摘要
网络规模的扩大与网络攻击复杂度的提升给入侵检测带来了若干挑战。主要挑战在于需要通过处理当今网络产生的海量流量，实时检测复杂的多阶段攻击。本文提出PRISM，一种分层入侵检测架构，其使用基于新颖攻击者行为模型的采样技术来最小化实时流量处理开销。PRISM具有独特多层架构，分布式监控网络流量，以提供处理效率与设计模块性。PRISM采用基于隐马尔可夫模型(Hidden Markov Model)的预测机制来识别多阶段攻击并确定攻击进展以实现主动响应。此外，PRISM引入了流管理流程，纠正了从分布式告警报告系统收集时的告警重排序问题。为评估PRISM性能，提出了多项指标，并在多阶段攻击数据集上进行了多种实验。结果表明，与标准集中式IDS相比，处理开销最高改善7.5倍，且不损失预测精度，同时展现出及时预测不同攻击阶段的能力。
引用
@article{arxiv.2111.11000,
title = {PRISM: A Hierarchical Intrusion Detection Architecture for Large-Scale Cyber Networks},
author = {Yahya Javed and Mosab A. Khayat and Ali A. Elghariani and Arif Ghafoor},
journal= {arXiv preprint arXiv:2111.11000},
year = {2023}
}