基于cpn的规划识别及多步骤攻击检测方法new

《基于cpn的规划识别及多步骤攻击检测方法new》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、万方数据第28卷第11期V01．28NO．11计算机工程与设计ComputerEngineeringandDesign2007年6月June2007基于CPN的规划识别及多步骤攻击检测方法张卫华，范植华(中国科学院软件研究所，北京100084)摘要：在Kautz规划识别算法基础上，利用CPN作为新的规划表示和识别方法。与目前规划识别领域广泛使用的Kautz表示方法相比，新的表示方法更加简便与高效。以多步骤攻击检测作为实例，通过计算行为间的变迁关系，以重新得到攻击全貌。关键词：规划识别；多步骤攻击；CPN；报警关联；网络安全中图法分类号：TPl8文献标识码：A文章编号：10

2、00．7024(2007)11-2516—04Methodsofplanrecognitionandmulti—stepattackdetectingbasedonCPNZHANGWei—hua．F久NZhi．hua(InstituteofSoftware，ChineseAcademyofSciences，Beijing100084，China)Abstract：BasedonKautzplanrecognitionalgorithm．Agent'sbeliefandintentionareanalyzedfromtheactionbeingobserved．Anewpl

3、anformalismmethodandaCPNconceptcomparedwithKaum’Sformalismusedwidelyinplanrecognition，thismenlodissimplerandmoredirect．AmethodaboutCPNisintroducedtomodelingtheactionofnetworkintrusiondetectionbasedonCPN；bymatchingtherelationshipofthealerts，itCanobtainthestageoftheattack．Keywords：planrecog

4、nition；multistageattack；CPN；alertrelation；networksecurity0引言规划识别是根据Agent的行为序列来推断其所追求目标的过程。而规划是寻求能够到达所希望目标的行为(或计划)序列的过程。从定义看，规划识别和规划是对两个相逆的问题的求解。规划识别是人工智能领域较新的交叉理论和技术，涉及到知识表达、知识推理、非单调逻辑、情景演算、人机交互和知识挖掘等方面知识。规划识别有着很强的实际背景，对其研究也往往基于特定领域而展开。规划识别技术主要应用于：心理学模型、叙事理解、自然语言符号学、智能用户接口和入侵检测等系统。没有运用规划识

5、别的入侵检测系统只能在发生入侵行为后发出警报，这样用户可能来不及采取措施；而带有规划识别的入侵检测系统可以根据一些观察到的行为或可疑行为进行预测是否有人准备入侵系统，这样就可以在发生入侵行为之前发出警报，用户可以采取相应的安全措施“捌。规划库知识的表示方法最主要的是Kautz表示方法。Kautz把规划识别中的事件表示为一个层次结构。事件层次结构中有两种类型的关系：抽象和分解。抽象关系表示的是一个事件使另一个事件更泛化(通用化)。分解关系表示的是一个事件是另一个事件的一部分。Kautz还为每个行为层次结构增加了两个特殊的事件类型：End和Any。任何抽象于End的事件不可能

6、是其它事件的组件。这样的事件被认为是规划识别过程的目标事件；任何事件都可以看作Any的子事件，以保证规划库的完整性。在具体的规划识别算法上，由于K叫tz的形式化与算法的独立性，因而可由许多算法予以正确地实现，诸如图匹配算法、句法分析法等等，在实现算法方面人们进行了广泛的研究。川，所以，长期以来Kaum对规划识别的形式化描述是该研究领域的基础。其它的表示和规划识别方法还有贝叶斯网络方法、目标规划图方法、规划知识图方法和回归图方法。应该说，这些图形化表示和规划识别方法各有优长，如贝叶斯网络的方法在自然语言理解中有其天然的优势，Kautz方法适用性广泛，规划知识图效率较高等，但

7、是，都或多或少存在以下3大问题：①表示复杂。当组成个体较多时，图形规模和计算量成幂级增加，不易有效地对规划库进行维护和更新；②表达能力较弱，不能跟踪规划识别的进程。很多节点都只是表示抽象概念，难以为复杂的行为建模。比如在Kautz表示中，对Agent本身的描述非常简单，认为它只是执行行为的一个部件而已。这个要求对很多智能系统来说都显得过于苛刻；③缺乏有效工具的支持，效率较低，缺乏进一步应用的基础。彩色Petri网(coloredpetrinet，CPN)是一种非常强大的图形化工具，方便用来对规划识别问题进行建模：(DCPN易于