An approach for classifying alerts of intrusion detection systems

Abstract

Internet ağlarının büyümesi ile bugün, veri alışverişi güvenliği önemli bir görev olarak kabul edilmektedir. Bu nedenle, güvenlik araçlarının kullanımı gün geçtikçe artmaktadır. Saldırı tespit sistemleri bu araçlar arasında yer alıyor. Uyarı olarak bir ağdan alınan mesajı etiketlemek mümkündür, ancak sistem durumunu açıklamak mümkün değildir. Bazı yöntemler saldırı tespit sistemlerinden alınan uyarıların ilişkilendirilmesi yoluyla yukarıdaki sorunu çözmek için geliştirilmiştir. Uyarıları birbirleriyle ilişkilendiren yöntemlerle, sistem durumunu açıklamak mümkün olacaktır. Uyarıların korelasyon yöntemlerinin adımlarından biri de sınıflandırmadır. Sınıflandırma verimli bir şekilde gerçekleştirildiğinde daha iyi bir sistem durumu tanımlanabilir. Burada, uyarıları sınıflandırmak için bir yöntem geliştirilmiştir.

With the growth of the Internet networks today, security of data exchange is considered as an important task. Therefore, the use of security tools is increasing day by day. Intrusion detection systems are among these tools. They are only able to label a message received from a network as 'alert', but they are unable to describe system status. Some methods have been developed to solve the above problem through correlating the alerts received from intrusion detection systems. By correlating the interrelated alerts, the methods would be able to describe system status. One of the steps of correlation methods of alerts is to classify them. System status can be described well when classification is performed efficiently. Here, we present a method for classifying alerts.