一個使用模組化方式來重建多步驟攻擊情境的方法

以作者查詢圖書館館藏

、以作者查詢臺灣博碩士

、以作者查詢全國書目

、勘誤回報

、線上人數：85

、訪客IP：18.226.200.240

姓名

黃志豪(Chih-Hao Huang) 查詢紙本館藏

畢業系所

資訊管理學系

論文名稱

一個使用模組化方式來重建多步驟攻擊情境的方法

相關論文

★ 應用數位版權管理機制於數位影音光碟內容保護之研究	★ 以應用程式虛擬化技術達成企業軟體版權管理之研究
★ 以IAX2為基礎之網頁電話架構設計	★ 應用機器學習技術協助警察偵辦詐騙案件之研究
★ 擴充防止詐欺及保護隱私功能之帳戶式票務系統研究-以大眾運輸為例	★ 網際網路半結構化資料之蒐集與整合研究
★ 電子商務環境下網路購物幫手之研究	★ 網路安全縱深防護機制之研究
★ 國家寬頻實驗網路上資源預先保留與資源衝突之研究	★ 以樹狀關聯式架構偵測電子郵件病毒之研究
★ 考量地區差異性之隨選視訊系統影片配置研究	★ 不信任區域網路中數位證據保留之研究
★ 入侵偵測系統事件說明暨自動增加偵測規則之整合性輔助系統研發	★ 利用程序追蹤方法關聯分散式入侵偵測系統之入侵警示研究
★ 一種網頁資訊擷取程式之自動化產生技術研發	★ 應用XML/XACML於工作流程管理系統之授權管制研究

檔案

[Endnote RIS 格式]

[Bibtex 格式]

[相關文章]

[文章引用]

[完整記錄]

[館藏目錄]

[檢視]

[下載]

本電子論文使用權限為同意立即開放。
已達開放權限電子全文僅授權使用者為學術研究之目的，進行個人非營利性質之檢索、閱讀、列印。
請遵守中華民國著作權法之相關規定，切勿任意重製、散佈、改作、轉貼、播送，以免觸法。

摘要(中)

目前入侵偵測系統所產生的資安警訊大多屬於低階資訊，未能讓管理人員很快地瞭解入侵行為的全貌。為解決此問題，近年來，入侵偵測系統的發展已從著重於提高警訊之效率、正確率，漸漸地轉移到將警訊關聯，以提供更全面的攻擊概觀。換句話說，如何將低階警訊資料關聯成為對資訊安全管理人員有用的資訊及知識，已成為目前網路安全研究的重點之一。然而，一個多步驟攻擊情境可以使用不同的手法達成相同的最終攻擊目的。單一攻擊步驟可以使用其他相等的入侵手法所替代，而不影響其最終攻擊目的的達成。本研究主要就是從資訊安全營運中心的角度，說明如何以彩色派翠網（Colored Petri Net，CPN）為理論基礎，利用模組化的方式來發展一個多步驟攻擊樣版的定義方法。在文中，我們提出同屬樣版與多重樣版的概念來關聯警訊。同屬樣版可以模組化的方式兼容進更多採取不同攻擊路徑的攻擊情境，讓系統將散落在各處的單一步驟攻擊警訊，透過多重樣版的處理，自動地組合成一個完整的攻擊情境，以還原入侵行為全貌。我們也使用美國MIT林肯實驗室提供的DARPA 2000 Data set、DEFCON 8 Data set以及我們自行錄製的校園警訊實際進行系統實驗。實驗結果證明，利用此模組化攻擊樣版，我們將可自動地偵測出採取可達成相同結果的不同入侵手法之攻擊情境。

關鍵字(中)

★ 彩色派翠網
★ 多重樣版
★ 同屬樣版
★ 警訊關聯
★ 多步驟攻擊

關鍵字(英)

★ Generic template
★ CPN
★ Multi-template

論文目次

目錄 II
圖目錄 IV
表目錄 VI
第一章緒論 1
1.1 研究背景、動機與目的 1
1.2 研究假設與研究流程 4
1.3 研究貢獻 5
1.4 論文架構 6
第二章相關文獻 7
2.1 重建多步驟攻擊之相關研究 7
2.1.1 Hyper-Alert架構 7
2.1.2 CRIM架構 11
2.1.3 CAML架構 14
2.2 本章小結 18
第三章同屬樣版與多重樣版 20
3.1 COLORED PETRI NET 簡介 20
3.2 先前研究結果與限制 21
3.3 同屬樣版的概念與基本流程 23
3.3.1 使用目的 23
3.3.2 基本流程 24
3.3.3 效益 26
3.4 多重樣版的概念與基本流程 27
3.4.1 使用目的與基本流程 27
3.4.2 效益 29
第四章系統架構與實作 30
4.1 系統架構 30
4.2 系統實作 32
4.2.1 開發環境及工具介紹 32
4.2.2 模組實作 33
第五章系統實驗與討論 37
5.1 系統實驗 37
5.1.1 實驗一系統對於不同IDS的兼容性 37
5.1.2 實驗二系統對於不同入侵手法的兼容性 42
5.1.3 實驗三使用相同同屬樣版偵測多個不同攻擊 45
5.1.4 實驗結果小結 55
5.2 討論 55
第六章結論與未來研究方向 58
6.1 結論 58
6.2 貢獻 59
6.3 未來研究方向 59
參考文獻 61
中文參考文獻 61
英文參考文獻 61
相關網站 64
附錄 A 65

參考文獻

中文參考文獻
[李勁頤2002]李勁頤，利用程序追蹤方法關聯分散式入侵偵測系統之入侵警
研究，國立中央大學資訊管理學系碩士論文，民國 91 年 6 月。
[游啟勝2003]游啟勝，合作式防火牆之設計與應用，國立中央大學資訊管理學系碩士論文，民國 92 年 6 月。
[翁興國2004]翁興國，“資訊安全營運中心之事件關聯處理的根本問題分析”， 2004網際網路安全工程研討會論文集，page57-84，台北，2004.
[陳劉翁2004]陳奕明、劉美君、翁興國，“多步驟攻擊的CPN塑模及其調適方法”，九三年度國防科技學術合作計畫成果發表會，2004.
[劉美君2004] 劉美君，一種利用彩色派翠網關聯警訊以重建多步驟攻擊的方法，國立中央大學資訊管理學系碩士論文，民國 93 年 6 月。
英文參考文獻
[AFV1995] D.Anderson, T. Frivold, and A. Valdes., “Next-generation Intrusion Detection Expert System (NIDES)”, Technical report, Computer Science Laboratory, SRI International, Menlo Park, California, SRI-CSL-95-07, May 1995.
[CAMB2002a] F. Cuppens, F. Autrel, A. Miège, S. Benferhat., “Correlation in an intrusion detection process”, Internet Security Communication Workshop (SECI'02), Tunis, September 2002.
[CAMB2002b] F. Cuppens, F. Autrel, A. Miège, S. Benferhat, “Recognizing Malicious Intention in an Intrusion Detection Process”, Second International Conference on Hybrid Intelligent Systems, Santiago, Chili, 2002.
[CERT2002] CERT/CC, “Overview of Attack Trends”, Software Engineering Institute, Carnegie Mellon University, 2002.
[CLF2003] Steven Cheung, Ulf Lindqvist, Martin W. Fong, “Modeling Multistep
Cyber Attacks for Scenario Recognition”, DARPA Information Survivability Conference and Exposition (DISCEX III), 2003.
[CM2002] Frédéric Cuppens, Alexandre Miège, “Alert Correlation in a Cooperative Intrusion Detection Framework”, IEEE Symposium on Research in Security and Privacy, 2002.
[CO2000] F. Cuppens, R. Ortalo, “LAMBDA：A Language to Model a Database for Detection of Attacks”, Third International Workshop on Recent Advances in Intrusion Detection (RAID'2000), Toulouse, Octobre 2000.
[CUI2002] Yun Cui, “A Toolkit for Intrusion Alerts Correlation Based on Prerequisites and Consequences of Attacks”, M.S. thesis, North Carolina State University, 2002.
[CUPP2001a] F. Cuppens, “Cooperative intrusion detection”, International Sysmposium on Information superiority: tools for crisis and conflict management, Paris, 24-26, Septembre 2001.
[CUPP2001b] F. Cuppens., “Managing alerts in a multi-intrusion detection environment”, In Proceedings of the 17th Annual Computer Security Applications Conference, December 2001.
[DLD2002] Kristopher Daley, Ryan Larson, Jerald Dawkins, “A Structural Framework for Modeling Multi-Stage Network Attacks”, In Proceedings of International Conference on Parallel Processing Workshop, 2002.
[DW2001] H. Debar and A. Wespi, “Aggregation and Correlation of Intrusion-Detection Alerts”, In the proceedings of Recent Advances in Intrusion Detection (RAID) 2001, pages: 85 ~ 103, November 2001.
[JENS1992] Kurt Jensen, “Coloured Petri Nets. Basic Concepts, Analysis Methods and Practical Use. Vol 1：Basic Concepts”, Monographs in Theoretical Computer Science, Spring-Verlag, 1992.
[LTGJ1992] T.F. Lunt, A. Tamaru, F. Gilham, R. Jagannathan, C. Jalali, P.G. Neumann, H.S. Javitz, and A. Valdes., “A Real-Time Intrusion Detection Expert System (IDES)”, Technical report, Computer Science Laboratory, SRI International, Menlo Park, California, 1992.
[MMDD2002] Benjamin Morin, Ludovic Mé, Hervé Debar, and Mireille Ducassé, “M2D2：A Formal Data Model for IDS Alert Correlation”, In Proceedings of the 5th symposium on Recent Advances in Intrusion Detection(RAID 2002), Zurich, Switzerland, October 2002. Springer LNCS 2516, pages 177-198
[NC2002] Peng Ning, Yun Cui, “An Intrusion Alert Correlator Based on Prerequisites of Intrusions”, Technical Report, TR- 2002-01, North Carolina State University, Department of Computer Science, 2002.
[NCR2002] Peng Ning, Yun Cui, Douglas S. Reeves, “Constructing Attack Scenarios through Correlation of Intrusion Alerts”, In Proceedings of the 9th ACM Conference on Computer & Communications Security, pages 245--254, Washington D.C., November 2002.
[NP1999] Peter G. Neumann and Phillip A. Porras., “EXPERIENCE WITH EMERALD TO DATE”, Proceedings of the Workshop on Intrusion Detection and Network Monitoring , April, 1999.
[NRC2001] Peng Ning, Douglas S. Reeves, Yun Cui, “Correlating Alerts Using Prerequisites of Intrusions”, Technical Report, TR-2001-13, North Carolina State University, Department of Computer Science, 2001.
[PN1997] P.A. Porras and P.G. Neumann., “EMERALD: Event Monitoring Enabling Responses to Anomalous Live Disturbances”, In Proceedings of the Nineteenth National Computer Security Conference, pages 353-365, Baltimore, Maryland, 22-25 October 1997. NIST/NCSC.

指導教授

陳奕明(Yi-Ming Chen)

審核日期

2005-7-15

推文