我该拉响警报吗？面向缓解误报的异常评分方法综述
机器学习
2020-09-01 v2 机器学习
摘要
如今，先进的入侵检测系统（IDS）依赖于异常检测与基于签名的方法相结合。IDS收集观测数据、分析行为模式，并报告可疑事件以供进一步调查。异常检测系统（ADS）和IDS面临的一个臭名昭著的问题是高误报的可能性，即便是当前最先进的系统也未能克服该问题。在大型复杂系统中这尤其成问题。非关键警报的数量很容易使管理员不堪重负，并增加忽略未来告警的可能性。因此，缓解策略旨在避免产生“过多”误报，同时不遗漏潜在危险情况。误报缓解策略主要有两类：（1）为提升异常评分质量而定制的各类方法；（2）在旨在降低误报率的场景中充当过滤手段的各类方法。这些方法已被众多学者广泛采用。本文中，我们回顾并比较现有的ADS误报缓解技术。我们还考察了在基于签名的IDS及其他相关场景（如对有前景的ADS颇具潜力的商业安全信息与事件管理工具）中有前景技术的使用。最后，我们指出了未来研究的有前景方向。
引用
@article{arxiv.1904.06646,
title = {Should I Raise The Red Flag? A comprehensive survey of anomaly scoring methods toward mitigating false alarms},
author = {Zahra Zohrevand and Uwe Glässer},
journal= {arXiv preprint arXiv:1904.06646},
year = {2020}
}
备注
arXiv admin note: text overlap with arXiv:1802.04431, arXiv:1503.01158 by other authors