Corrélation d'alertes en détection d'intrusions
Résumé
Current intrusion detection systems generate too many alerts. These alerts are imprecise and partial. Furthermore, they contain low level information. These alerts are therefore of limited interest for a human operator. Alert correlation is a promising technology to reduce the number of alerts, improve the diagnostic and provide a better vision of the security of the system in the case of an intrusion. This paper presents an overview of different alert correlation technologies and shows how these technologies can be applied to intrusion detection.
Les outils de détection d'intrusions (IDS) actuellement en opération produisent de trop nombreuses alertes. Les informations qu'elles contiennent manquent de précision et sont, de plus, parcellaires et de très bas niveau. Ces alertes sont par conséquent d'un intérêt limité pour un opérateur humain. La recherche sur la corrélation d'alertes est très prometteuse. Par la corrélation d'alertes nous pouvons espérer réduire le volume d'informations à traiter, améliorer la qualité du diagnostic proposé et dégager une meilleure vision globale de l'état de sécurité du système en cas d'intrusion. Cet article de synthèse présente différentes techniques de corrélation d'alertes et décrit comment ces techniques peuvent être utilisées pour la détection d'intrusions.