Eliciting and utilising knowledge for security event log analysis: An association rule mining and automated planning approach

ارزیابی آسیب پذیری و فعالیت های پیکربندی امنیتی به شدت متکی به دانش تخصصی است. این الزام اغلب موجب می شود که بسیاری از سیستم ها به علت فقدان مهارت های تجزیه و تحلیل و دسترسی به منابع متخصص، ناامن نشوند. مدتها شناخته شده است که گزارش های رویداد سیستم، اطلاعات تاریخی را نشان می دهد که نقض امنیتی بالقوه و همچنین فعالیت های پیکربندی را ثبت می کند. با این حال، شناسایی و استفاده از دانش در سیاهههای مربوط به رویداد برای غیر متخصص چالش برانگیز است. در این مقاله یک تکنیک جدید برای پردازش سیاهههای امنیتی رویداد یک کامپیوتر طراحی شده است که توسط یک حرفه امنیتی مورد ارزیابی و پیکربندی شده است، عناصر کلیدی دامنه را به منظور تصمیم گیری متخصص خود استخراج کرده و به طور خودکار دانش آموخته شده را به سیستم های قبلا غیرفعال شده توسط غیرمجاز -شناسان این تکنیک ورودی ورودی های رویداد را به یک مدل مبتنی بر شیء تبدیل می کند و به صورت پویا قوانین وابسته را استخراج می کند. قوانین بیشتر با توجه به کیفیت با استفاده از یک متریک زمانی به طور خودمختار ایجاد قوانین انجمن موقتی و به دست آوردن یک مدل دامنه از وظایف پیکربندی کارشناس. مدل دامنه به دست آمده و نمونه مسئله ای که از یک سیستم قبلا غیرقابل مشاهده ساخته شده است، می تواند برای تولید برنامه ای از فعالیت استفاده شود که می تواند توسط افراد غیر حرفه ای مورد سوء استفاده قرار گیرد تا امنیت سیستم خود را بهبود ببخشند. تجزیه و تحلیل تجربی پس از آن بر روی 20 رویداد ثبت شده، که در آن شناسایی طرح های طرح شده در نظر دقت و عملکرد مورد بحث قرار گرفته است.