基于树形规则的网络安全事件关联分析方法

事件树分析中事件树分析法是安全系统工程中常用的一种归纳推理分析方法，起源于决策树分析（简称DTA），它是一种按事故发展的时间顺序由初始事件开始推论可能的后果，从而进行危险源辨识的方法。

一、事件树分析的功用是一个动态分析过程，可以看出系统变化过程。

事件树分析时，事件树上只有成功或失败两种状态，可以快速推断和找出系统的事故，并能指出避免发生事故的途径。

各个系统中各个要素的故障概率，可以概略地计算出不希望时间的发生概率。

找出最严重的事故后果，为事故树确定顶上事件提供依据。

可以对已发生的事故进行原因分析。

二、分析原理事件树分析是从一个初始事件开始，按顺序分析事件向前发展中各个环节事件成功与失败的过程和结果。

任何一个事故都是由多环节事件发展变化形成的。

如果这些环节事件都失败或部分失败,就会导致事故发生。

事件树分析是由决策树演化而来的,最初是用于可靠性分析。

它的原理是按照系统的构成顺序,从初始元件开始,由左向右分析各元件成功与失败两种可能,直到最后一个元件为止。

分析的过程用图形表示出来,就得到近似水平的树形图。

事件树分析可以把事故发生发展的过程直观地展现出来,如果在事件(隐患)发展的不同阶段采取恰当措施阻断其向前发展,就可达到预防事故的目的。

三、分析步骤(1)确定初始事件1初始事件是事件树中在一定条件下造成事故后果的最初原因事件。

它可以是系统故障、设备失效、人员误操作或工艺过程异常等。

一般是选择分析人员最感兴趣的异常事件作为初始事件。

(2) 找出与初始事件有关的环节事件所谓环节事件就是出现在初始事件后一系列可能造成事故后果的其他原因事件。

(3) 画事件树把初始事件写在最左边,各种环节事件按顺序从左至右排列；从初始事件画一条水平线到第一个环节事件，在水平线未端画一垂直线段，垂直线段上端表示成功，下端表示失败；再从垂直线两端分别向右画水平线到下个环节事件，同样用垂直线段表示成功和失败两种状态；依次类推，直到最后一个环节事件为止。

万方数据　万方数据　万方数据第ｌｌＡ期潘安群等：基于树形规则的网络安全事件关联分析方法·７９·甚至第一步都没有，所以还可以添加其他支路，这里就不做更详细的说明。

图２ｗｉｎｎｕｋｅ攻击的关联指令４试验结果我们通过２方面的实验来试系统的性能：一是搭建一个攻击测试网络，在该网络上进行攻击实验；二是在真实的网络环境中测试系统的性能，实验环境包括中国教育科研网（ＣＥＲＮＥＴ）华中地区主干网的一个分支网络。

实验１在测试网络中，共有８台ＰＣ机，Ｖｍｗａｒｅ虚拟机１５台，主要有４种操作系统：ＤｅｂｉａＩｌＬｉｎｕｘ３．１，Ｗｉｎｄｏｗｓ２０００ＳｅｒｖｅｒＳＰｌ，Ｒｅｄｈａｔ７．２，ＷｉｎｏｄｗＸＰＳＰｌ。

其网络拓扑如图３。

图下面的网络为虚拟外网和攻击者，而上面的网络就是系统监控和保护的内部网络，其中Ｗｉｎｄｏｗｓ２０００和Ｒｅｄｌｌａｔ的机器都作为蜜罐系统，都运行了足够多的服务，并存在相当多的漏洞。

整个内部网络由一个ＳｎｏｒｔＩＤＳ，一个Ｉｐｔａｂｌｅｓ防火墙监控，还有一些其他辅助安全软件，例如Ｎｔｏｐ，ｐａｄｓ，ｐｏｆ，ｔｃｐ仃ａｃｋ等。

图３实验一网络拓扑从外部几台机器不断的向内部网络中的主机发起各类攻击，包括后门，蠕虫，漏洞和端口扫描，Ｄｏｓ，ｗ曲攻击等等。

在为期两周的攻击模拟后，所产生的报警及各类可利用安全日志数量如表４（注：Ｓｎｏｒｔ安全日志单位为条数，其他日志都以其日志文件的字节数为单位）。

发现其中占较大比率的是蠕虫报警，同时也有相当大一部分属于漏洞和端口扫描的报警。

如果设定可信度的门限值为３，那么最终系统提供了４５２个可信度大于３的攻击场景，其中共包含３９８６条原始报警（表５）。

以一个攻击场景为一条关联后报警，那么报警的减少比率达到了９９．７％。

在通过手工确认以后，发现系统认为不成功的攻击确实没有成功。

在攻击场景还原方面，我们也发现的８０％攻击一般由３—４个步骤组成，每个步骤中在空间上重复的报警一般视所布置的安全设备多少而定。

事故树分析法（FTA）事故树分析法是一种既能定性又能定量的逻辑演绎评价方法，是从结果到原因描绘事故发生的有向逻辑树，在逻辑树中相关原因事件之间用逻辑门连接，构成逻辑树图，为判明事故发生的途径及损害间关系提供一种最形象、最简洁的表达方式。

事故树法又称为故障树分析法，是一种逻辑演绎的系统评价方法，是安全系统工程中重要的分析方法之一。

它能对各种系统的危险性进行识别评估，既适用于定性分析，又能进行定量分析。

具有简明、形象的特点。

其分析方法是从要分析的特定事故或故障顶上事件开始，层层分析其发生原因（中间事件），一直分析到不能再分解或没有必要分析时为止，即分析至基本原因事件为止，用逻辑门符号将各层中间事件和基本原因事件连接起来，得到形象、简洁地表达其因果关系的逻辑树图形即故障树。

通过对其简化计算得到分析评价目的的方法。

故障树分析法的主要功能1、对导致事故的各种因素及其逻辑关系作出全面的描述2、便于发现和查明系统内固有的或者潜在的危险因素，为安全设计、制定技术措施及采取管理对策提供依据3、使作业人员全面了解和掌握各项防灾要点4、对已发生的事故进行原因分析故障树的分析步骤1、确定所分析的系统2、熟悉所分析的系统3、调查系统发生的事故4、确定事故的顶上事件5、调查与顶上事件有关的所有原因事件6、故障树作图7、故障树的定性分析8、故障树的定量分析9、安全性评价事故树的主要符号事件符号顶上事件、中间事件符号，需要进一步的分析基本事件符号，不能进一步往下分析正常事件，正常情况下存在的事件省略事件，不能或者不需要分析逻辑符号的顶上事件中间事件基本事件或门，任意一事件发生，顶上事件发生与门，两个事件同时发生，顶上事件发生条件或门，任意事件发生，并且满足 a ，顶上事件才发条件与门，两事件同时发生，并满足 a ，顶上事件才发限制门，事件发生，并满足 a ，顶上事件才发生事故树的建造方法直接原因事件可以从以下几个方面考虑： 1、 电气设备故障 2、 人的差错（操作、管理、指挥） 3、 环境不良事故树的数学描述事故树的结构函数Xi=1 表示单元 i 是发生的XiXi=0 表示单元 i 是没有发生yy =Φ(X ) 或 =Φ(, ,…, ) 系统的结构函数事故树的定性分析利用布尔代数简化事故树割集·a·aay=1 表示顶上事件是发生的y=0 表示顶上事件是没有发生的割集：事故树种某些基本事件的组合，当这些基本事件都发生时，顶上事件必然发生。