EP1820170A1 - Suppression de fausses alertes parmi les alertes produites dans un systeme d'informations surveille - Google Patents

Suppression de fausses alertes parmi les alertes produites dans un systeme d'informations surveille

Info

Publication number
EP1820170A1
EP1820170A1 EP05819246A EP05819246A EP1820170A1 EP 1820170 A1 EP1820170 A1 EP 1820170A1 EP 05819246 A EP05819246 A EP 05819246A EP 05819246 A EP05819246 A EP 05819246A EP 1820170 A1 EP1820170 A1 EP 1820170A1
Authority
EP
European Patent Office
Prior art keywords
alerts
alert
new
categories
false
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
EP05819246A
Other languages
German (de)
English (en)
Other versions
EP1820170B1 (fr
Inventor
Benjamin Morin
Jouni Viinikka
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Orange SA
Original Assignee
France Telecom SA
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by France Telecom SA filed Critical France Telecom SA
Publication of EP1820170A1 publication Critical patent/EP1820170A1/fr
Application granted granted Critical
Publication of EP1820170B1 publication Critical patent/EP1820170B1/fr
Anticipated expiration legal-status Critical
Expired - Lifetime legal-status Critical Current

Links

Classifications

    • G—PHYSICS
    • G08—SIGNALLING
    • G08B—SIGNALLING SYSTEMS, e.g. PERSONAL CALLING SYSTEMS; ORDER TELEGRAPHS; ALARM SYSTEMS
    • G08B29/00—Checking or monitoring of signalling or alarm systems; Prevention or correction of operating errors, e.g. preventing unauthorised operation
    • G08B29/18—Prevention or correction of operating errors
    • G08B29/20—Calibration, including self-calibrating arrangements
    • G08B29/22—Provisions facilitating manual calibration, e.g. input or output provisions for testing; Holding of intermittent values to permit measurement

Definitions

  • the invention relates to a system and method for suppressing false alerts among alerts produced in a monitored information system.
  • intrusion detection systems are located upstream of intrusion prevention systems. They detect activities that go against the security policy of an information system.
  • Intrusion detection systems include "SDI” intrusion detection probes that issue alerts to "SGA” alert management systems.
  • intrusion detection probes are active components of the intrusion detection system that analyze one or more data sources looking for events that are characteristic of intrusive activity and issue alerts to management systems.
  • An SGA alert management system centralizes the alerts from the probes and optionally performs an analysis of all these alerts.
  • the SGAs consist of several "MTA” alert processing modules, responsible for processing alerts downstream of their production by SDI. MTAs themselves produce higher level alerts translating their processing on alerts.
  • the alerts are presented to an information system security operator in a "CPA" alert presentation console.
  • CCA information system security operator
  • the MTAs it is possible to distinguish the "MSFA" false-alarm suppression modules, which are responsible for identifying the alerts that are “false positive” false alerts, ie the alerts that are produced by the SDIs then no intrusive activity took place. Conversely, alerts produced as a result of an intrusive activity that has actually taken place are true “true positive” alerts.
  • Intrusion detection probes generate a very large number of alerts that can include several thousand alerts per day depending on configurations and the environment This excess of alerts is mainly related to false alerts.
  • the object of the invention is to remedy these drawbacks, and to provide a simple method of eliminating false alerts that does not require prior knowledge and that allows a real, easy and quick diagnosis of these alerts. .
  • a method of removing false alerts from the alerts produced in a monitored information system in which the alerts are automatically classified by means of a false alarm suppression module according to two categories consisting of fake and real alerts according to determined criteria based on a progressive learning of said module from the expertise of a human operator in charge of an initial manual classification of alerts, said progressive learning comprising the following phases: an initial learning phase wherein said false alarm removal module performs a diagnostic record of the human operator for a determined number of initial alerts and including for a given initial alert, an extraction of the set of words composing said given initial alert, and an association with each word of said set of words, a counter dice ignoring the cumulative number of occurrences of said word in one of two categories, and a validation phase in which said false alarm suppression module classifies new alerts according to said diagnostic record and a human operator's supervision which confirms or corrects the classifications of new alerts.
  • the method according to the invention facilitates the work of the security operator by allowing the MSFA to gradually learn the work of the latter to offer him at the end of this learning, automatic diagnostics on the nature of the alerts without any knowledge prior.
  • the progressive and supervised learning of the MSFA makes it possible to take optimal account of the modifications that can be made by the security operator while at the same time making it possible to measure in a simple manner the frequency of appearance of the words in the categories of false and true alerts.
  • These determined criteria include a comparison of the probabilities of belonging to the alerts to one or the other of the two categories.
  • the confirmations or corrections of the classifications of new alerts made by the human operator are used by the false alarm suppression module to minimize a correction rate allowing it to increase the reliability of any subsequent classification. new alerts.
  • the correction rate makes it possible to quantify the reliability of the classification of the alerts and consequently to improve any subsequent classification of new alerts.
  • the method comprises an operational phase in which the classification of the new alerts is carried out autonomously if the rate of correction of the classification of the new alerts of the validation phase becomes less than a certain threshold number.
  • the correction rate provides reliable filtering for the transition to an autonomous classification phase of the new alerts.
  • the false alarms in the operational phase, can be deleted or stored in a storage means and only the real alerts are sent to an alarm presentation console (CPA).
  • CPA alarm presentation console
  • the classification of the alerts during the validation phase and the operational phase includes, for a new alert given, the following steps:
  • the alerts can be classified with a continuously increasing reliability.
  • the comparison of the probabilities of membership of the new alert given to one and the other of these categories comprises the following steps: calculating for each word of the set of words of said new alert, the probability that each word is present in alerts belonging to one or the other of the categories by determining the ratio between the counter designating the cumulative number of occurrences of each word in alerts of either category and the total number of occurrences of words in either category respectively,
  • the steps above take advantage of the counters to compare the probabilities of belonging of a given alert to one and the other of the categories with an optimal number of calculation steps, thus minimizing the time of calculation.
  • the correction by the false alarm suppression module of the classification of new alerts during the validation phase includes the following steps: -correction of the category of a new alert previously classified by said module, if it receives a notification from the human operator indicating that said previous classification of said new alert is false,
  • the setting of the meters is an efficient and fast way to improve the learning of the MSFA.
  • the invention also aims at a module for suppressing false alarms comprising: data processing means making it possible to automatically classify the alerts according to two categories consisting of false and true alerts according to determined criteria based on a progressive learning from the expertise of a human operator in charge of an initial manual classification of alerts, and memory means making it possible to record, during an initial learning phase of progressive learning, diagnoses of the human operator concerning a determined number of initial alerts by allowing for a given initial alert to extract the set of words composing said given initial alert and by associating with each word of said set of words, a counter designating the cumulative number of occurrences of said word in one of the two categories, the means of data processing making it possible further to classify new ertes based on said diagnostic record and human operator supervision that confirms or corrects the classifications of new alerts.
  • the data processing means are also intended to autonomously classify new alerts if a correction rate of the classification of the new alerts of the validation phase becomes less than a determined threshold number.
  • the module further comprises a storage means for storing, during the operational phase, the false alarms so that only the real alerts are sent to an alert presentation console.
  • the invention is also directed to a monitored information system comprising an internal network to be monitored, intrusion detection probes, an alert management system, an alert presentation console, and a false alarm suppression module. according to the characteristics above.
  • FIG 1 is a very schematic view of a monitored information system comprising a false alarm suppression module according to the invention.
  • FIG. 2 is a very schematic flowchart illustrating the steps of a method for suppressing false alerts among the alerts produced in an information security system, according to the invention.
  • FIG. 1 illustrates a very schematic example of a network or a monitored information system 1 comprising an information security system 3, a "CPA" warning presentation console 5 and an internal network 7 to be monitored. comprising a set of entities, for example work stations 7a, 7b, 7c, 7d servers, web 7e etc.
  • the information security system 3 comprises a set
  • the information security system 3 includes a false alarm suppression module
  • MSFA 17 connected to the intrusion detection probes 11a, 11b and 11c, to the alert management system 15, and to the alert presentation console 5, via a routing router 19 .
  • the router 19 is connected to the MSFA 17 via links 18a and 18b, to the intrusion detection probes 11a, 11b and links via links 13a, 13b and 13c, to the SGA 15 via links 16a and 16b, and at CPA 5 via a link 6.
  • the false alarm suppression module 17 comprises data processing means 21 for classifying (that is to say, marking) alerts automatically according to two categories consisting of false and true alerts according to determined criteria based on a progressive learning of the MSFA 17 from the expertise of a human operator 23 in charge of an initial manual classification of alerts. These determined criteria include a comparison of the probabilities of belonging to the alerts to one or the other of the two categories.
  • a computer program designed to implement a method for suppressing false alerts according to the present invention can be executed by the processing means 21 of the MSFA 17.
  • the MSFA 17 is adaptive in that it progressively integrates the expertise of the human operator 23 in charge of the initial manual qualification of false alerts and presents three successive phases of operation (see also Figure 2).
  • the first phase P1 is an initial learning phase in which the MSFA 17 does not mark the alerts, it merely records the diagnoses of the human operator 23. Indeed, the MSFA 17 includes memory means 25 allowing processing means 21 to record diagnoses of the human operator 23 relating to a determined number of initial alerts.
  • the second phase P2 is a validation phase in which the data processing means 21 of the MSFA 17 proceed to the classification of new alerts as a function of the diagnostic record and a supervision of the human operator 23 which confirms or Corrects the classifications of new alerts.
  • the MSFA 17 begins to mark the alerts, which are presented to him through the link 18a.
  • the confirmations or corrections of the classifications of new alerts made by the human operator 23 are used by the false alarm suppression module 17 to minimize a correction rate enabling it to increase the reliability of any subsequent classification of new alerts.
  • the first and second phases of initial learning and validation form a progressive learning of the MSFA 17.
  • the third phase P3 is an operational phase in which the classification of the new alerts is carried out autonomously by the processing means 21 of the MSFA 17 if the correction rate of the classification of the new alerts of the validation phase becomes lower. to a certain threshold number.
  • the MSFA 17 marks the alerts and sends only the real alerts to the presentation console CPA 5 alerts.
  • the false alerts are either directly deleted or stored in the memory means 25 or preferably in a storage means 27 attached via a link 26. The choice between deleting or storing false alerts can be determined by the human operator 23.
  • the MSFA 17 is intended to process the alerts coming directly from the SDIs 11a, 11b, 11a via the links 13a, 13b, 13c and 18a or possibly other MTAs 15a, 15b via links 16b and 18a.
  • Each alert generated by an IDS 11a, 11b, lie or an MTA 15a, 15b is submitted to the MSFA 17 for analysis.
  • the MSFA 17 marks the alerts that it deems to be false alerts and submits them (links 18b, 16a) to the SGA 15.
  • the alert with its marking is then sent (links 16b, 6) to the CPA 5 to be there. consulted by the human security operator.
  • the human operator 23 can still intervene, for example via a direct link 8 with the MSFA 17 to revise the diagnostics of the latter. Indeed, in the event of error of qualification of an alert by the MSFA 17, the human operator 23 has the possibility of correcting the diagnosis of the MSFA 17 a posteriori via the CPA 5. This correction is transmitted (link 8) to the MSFA 17, which thus revises its subsequent diagnoses by taking into account the correction made by the human operator 23. Thus, the learning of the MSFA 17 is supervised by the human security operator 23 who teaches the latter to classify the alerts. .
  • this learning is progressive because at the beginning, the MSFA 17 makes marking errors and as the human security operator 23 confirms or invalidates the markings, the diagnosis of the MSFA 17 becomes more reliable.
  • the filtering of the MSFA 17 is sufficiently reliable, that is to say that its classification error rate is tolerable, the alerts identified as false alerts (false positives) can be either directly deleted or stored in the storage means 27 appendix so that only the real alerts (true positives) are presented to the human operator 23. The work of the human operator 23 is thus facilitated because the volume of alerts presented to him is very reduced.
  • the words of an alert refer, for example, to the nature of an attack against the information system 1, the identity of the victims, the alleged identity of the attackers, the type of fault exploited, and the date.
  • the problem to be solved Q is to determine whether the probability that the alert has a false positive is greater than the probability that the alert is a true positive. If this is the case, then the alert a is marked as "false positive” otherwise the alert a is unchanged (that is, considered as "true positive”).
  • the Q problem is therefore to determine whether
  • P ⁇ fp, m x , ..., m n P ⁇ m x ⁇ fp).
  • ⁇ ), P (fp) and P (vp, m ] , ..., m n ) P ⁇ m ⁇ ⁇ vp).
  • C) represent the probability that a word m, is present in an alert that belongs to the class or category
  • the processing means 21 build counters H c which indicate the frequency of the different words in the two categories Ce ⁇ vp, fp ⁇ . Indeed, the MSFA 17 builds a first hash table H fp which associates with each word M 1 the value H ⁇ m 1 ) which designates the cumulative number of occurrences of the word M 1 in alerts which are false positives, as well as that a second hash table H vp which associates with each word m, the value H ⁇ m 1 ) which designates the cumulative number of occurrences of the word m, in alerts which are true positives.
  • the word notation (H c ) designates the definition domain of the hash table H c , that is to say the set of words corresponding to the category Ce ⁇ vp, fp ⁇ . Therefore, the total number of occurrences of words in true positives is given by the following formula:
  • N n , ⁇ H fp (m,)
  • the probability that a word m, is present in an alert that belongs to the class Ce ⁇ vp, fp ⁇ is given by the following formula:
  • FIG. 2 is a very schematic flow diagram illustrating the steps of the false alarm removal method among the alerts produced in an information security system 3.
  • the steps E1 to E3 describe the recording in the memory means 25 of the MSFA 17 of the diagnoses of the human operator 23 during the initial learning phase P1.
  • step El the MSFA 17 receives an initial alert given to '.
  • step E2 the MSFA 17 proceeds to extract the set of words m ⁇ component this initial alert given;
  • step E3 the MSFA 17 associates with each word m ⁇ of the set of words ⁇ m ⁇ , ..., m ' n ⁇ , a counter H c (m ⁇ ) denoting the cumulative number of occurrences of the word m ⁇ in one of the two categories
  • Step E4 is a test intended to verify whether the number of alerts that have passed through the MSFA 17 has reached a sufficient number. Thus, when the number of alerts is less than a threshold number set for example by the human operator 23, it loops back to step El. On the other hand, if the number of alerts is not less than the threshold number, then we go to the steps E5 to E14 describing the classification of the alerts, by the MSFA 17 during the validation phase P2.
  • Step E5 indicates the receipt by the MSFA 17 of a new alert given a.
  • step E7 the probabilities of belonging of the new alert given to the one and the other of the categories are compared:
  • step E71 the MSFA 17 calculates for each word m, of the set of words ⁇ m v ..., m n ⁇ of the new alert a, the probability that each word m, is present in alerts belonging to one or other of the categories C (Ce ⁇ vp, fp ⁇ ) by determining the ratio between the counter H c (m,) designating the cumulative number of d occurrences of each word m, in alerts of one or other of the categories C and the total number N c of occurrences of words in one or the other of the categories
  • step E72 the MSFA 17 calculates the probability of each category by determining the ratio between the total number N c of occurrences of words in alerts of each category C and the
  • step E73 the MSFA 17 calculates the product, on the set of words ⁇ m x , ..., m n ⁇ composing the new alert given a, probabilities
  • each category P ⁇ c that is to say I JJP [M 1
  • step E74 the MSFA 17 compares the result of the preceding step according to the two categories, that is to say:
  • step E8 the new alert a is classified by the MSFA 17 in one of two categories according to the result of the comparison of the previous step E7.
  • step E9 the MSFA 17 increments the counters H c (m,) according to the category Ce ⁇ vp, fp ⁇ of the new alert given.
  • the MSFA 17 transmits the new alert given thus classified (marked) to the presentation console alerts
  • the human operator 23 interacts with the MSFA
  • step EI1 if the MSFA 17 receives a notification from the human operator 23 indicating that the previous classification C of the new alert a is false, then the MSFA 17 proceeds to the correction of the diagnosis according to the steps E12 to E14, otherwise we go directly to step E15.
  • step E12 the MSFA 17 corrects the category of the new alert a according to the notification of the human operator 23. In other words, the MSFA 17 marks the new alert by a ranking C contrary to the previous ranking.
  • step E13 the MSFA 17 decrements the counters H c (m,) designating the cumulative numbers of occurrences of words in the category C falsely classified.
  • step E14 the MSFA 17 increments the counters H 1 Xm 1 ) designating the cumulative numbers of occurrences of words in the corrected category C.
  • Step E15 is a test to check whether the misclassification rate is tolerable.
  • Step E18 is a comparison of the probabilities of belonging to this new alert to one and the other of the categories.
  • Step E19 is the classification of the new alert.
  • Step E20 consists of incrementing the counters according to the classification category of the new alert.
  • the MSFA 17 transmits the new alert thus classified to the CPA 5.
  • step E22 the false alarms are stored in the storage means 27.
  • the false alarms can be deleted.
  • the MSFA 17 evaluates the probability that an alert is a false positive depending on the words that compose it.
  • the MSFA 17 marks the alerts which it judges to be false positives and transmits the alert with its marking to the human security operator 23.
  • the latter has the possibility of modifying the diagnosis made by the MSFA 17 if it is erroneous via the presentation console CPA 5 alerts. In the latter case, the modification is taken into account by the MSFA 17 to revise its subsequent diagnoses. .

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Alarm Systems (AREA)
  • Debugging And Monitoring (AREA)

Description

Suppression de fausses alertes parmi les alertes produites dans un système d'informations surveillé.
Arrière-plan de l'invention L'invention concerne un système et un procédé de suppression de fausses alertes parmi les alertes produites dans un système d'informations surveillé.
La sécurité des systèmes d'informations passe par le déploiement de systèmes de détection d'intrusions. Ces systèmes de détection d'intrusions se situent en amont des systèmes de prévention d'intrusions. Ils permettent de détecter des activités allant à rencontre de la politique de sécurité d'un système d'informations.
Les systèmes de détection d'intrusions sont entre autres constitués de sondes de détection d'intrusions « SDI » qui émettent des alertes vers des systèmes de gestion d'alertes « SGA ».
En effet, les sondes de détection d'intrusions sont des composants actifs du système de détection d'intrusions qui analysent une ou plusieurs sources de données à la recherche d'événements caractéristiques d'une activité intrusive et émettent des alertes vers les systèmes de gestion d'alertes. Un système de gestion d'alertes SGA centralise les alertes provenant des sondes et effectue éventuellement une analyse de l'ensemble de ces alertes.
Les SGA sont constitués de plusieurs modules de traitement d'alertes « MTA », chargés de traiter les alertes en aval de leur production par les SDI. Les MTA produisent eux-mêmes des alertes de plus haut niveau traduisant leur traitement sur les alertes.
Une fois traitées par les modules du SGA, les alertes sont présentées à un opérateur de sécurité du système d'information dans une console de présentation des alertes « CPA ». Parmi les MTA, on peut distinguer les modules de suppression de fausse alertes « MSFA », qui sont chargés d'identifier les alertes qui sont de fausses alertes « faux positifs », c'est à dire les alertes qui sont produites par les SDI alors qu'aucune activité intrusive n'a eu lieu. A l'inverse, les alertes produites suite à une activité intrusive qui a effectivement eu lieu sont des vraies alertes « vrais positifs ».
Les sondes de détection d'intrusions génèrent un très grand nombre d'alertes qui peut comprendre plusieurs milliers d'alertes par jour en fonction des configurations et de l'environnement Cet excès d'alertes est majoritairement lié aux fausses alertes.
En général, parmi les milliers d'alertes générées quotidiennement dans un système d'informations, 90 à 99% des alertes sont des fausses alertes.
L'analyse de la cause de ces fausses alertes montre qu'il s'agit très souvent de comportements erratiques d'entités (par exemple des serveurs) du réseau surveillé, mais qui ne sont pas pertinents du point de vue de la sécurité du système d'informations. Il peut aussi s'agir de comportements normaux d'entités, dont l'activité ressemble à une activité intrusive, si bien que les sondes de détection d'intrusions (SDI) émettent des alertes par erreur. Comme les comportements normaux constituent la majorité de l'activité d'une entité, les fausses alertes engendrées sont récurrentes et participent pour une grande part à l'excès global d'alertes.
Une mauvaise prise en compte de la politique de sécurité du système d'informations dans la configuration des SDI peut aussi engendrer de fausses alertes. Dans tous les cas, la nature (vrai ou faux positif) d'une alerte dépend en grande partie des propriétés intrinsèques du système d'informations surveillé.
Dans les SGA actuels, la qualification d'une alerte de vrai ou faux positif est laissée à l'appréciation de l'opérateur de sécurité en charge de l'analyse des alertes car c'est lui qui connaît les propriétés de son système d'informations. Comme le nombre d'alertes générées est grand, le temps consacré par l'opérateur à chaque alerte est réduit.
Il existe des techniques probabilistes de traitement des alertes issues de sondes de détection d'intrusions pour détecter de fausses alertes. Ces techniques reposent sur des connaissances préalables des propriétés des attaques qui sont référencées dans les alertes, ainsi que sur les propriétés du système d'informations surveillé.
Objet et résumé de l'invention L'invention a pour but de remédier à ces inconvénients, et de fournir un procédé simple de suppression de fausses alertes qui ne nécessite pas de connaissances préalables et qui permette un diagnostique réel, aisé et rapide de ces alertes.
Ces buts sont atteints grâce à un procédé de suppression de fausses alertes parmi les alertes produites dans un système d'informations surveillé, dans lequel les alertes sont classées automatiquement au moyen d'un module de suppression de fausses alertes suivant deux catégories constituées de fausses et vraies alertes selon des critères déterminés basés sur un apprentissage progressif dudit module à partir de l'expertise d'un opérateur humain en charge d'un classement initial manuel des alertes, ledit apprentissage progressif comportant les phases suivantes : -une phase d'apprentissage initial dans laquelle ledit module de suppression de fausses alertes procède à un enregistrement de diagnostics de l'opérateur humain concernant un nombre déterminé d'alertes initiales et comprenant pour une alerte initiale donnée, une extraction de l'ensemble de mots composant ladite alerte initiale donnée, et une association à chaque mot dudit ensemble de mots, d'un compteur désignant le nombre cumulé d'occurrences dudit mot dans l'une des deux catégories, et -une phase de validation dans laquelle ledit module de suppression de fausses alertes procède à la classification de nouvelles alertes en fonction dudit enregistrement de diagnostics et d'une supervision de l'opérateur humain qui confirme ou corrige les classifications de nouvelles alertes. Ainsi, le procédé selon l'invention facilite le travail de l'opérateur de sécurité en permettant au MSFA d'apprendre progressivement le travail de ce dernier pour lui proposer au bout de cet apprentissage, des diagnostics automatiques sur la nature des alertes sans aucune connaissance préalable. L'apprentissage progressif et supervisé du MSFA permet une prise en compte optimale des modifications pouvant être apportées par l'opérateur de sécurité tout en permettant de mesurer de manière simple la fréquence d'apparition des mots dans les catégories de fausses et vraies alertes.
Ces critères déterminés comportent une comparaison des probabilités d'appartenance des alertes à l'une et à l'autre des deux catégories.
Ainsi, une technique probabiliste de comparaison garantie un apprentissage efficace et mesurable.
Avantageusement, dans la phase de validation, les confirmations ou corrections des classifications de nouvelles alertes apportées par l'opérateur humain sont utilisées par le module de suppression de fausses alertes pour minimiser un taux de correction lui permettant d'augmenter la fiabilité de toute classification ultérieure de nouvelles alertes. Ainsi, le taux de correction permet de quantifier la fiabilité du classement des alertes et par conséquent d'améliorer toute classification ultérieure de nouvelles alertes.
Selon une autre particularité de l'invention, le procédé comporte une phase opérationnelle dans laquelle la classification des nouvelles alertes est effectuée de manière autonome si le taux de correction de la classification des nouvelles alertes de la phase de validation devient inférieur à un nombre seuil déterminé.
Ainsi, le taux de correction fournit un filtrage fiable pour le passage vers une phase de classification autonome des nouvelles alertes. Selon encore une autre particularité de l'invention, dans la phase opérationnelle, les fausses alertes peuvent être supprimées ou stockées dans un moyen de stockage et seules les vraies alertes sont envoyées à une console de présentation des alertes (CPA).
Ainsi, le volume d'alertes devant être présenté à l'opérateur humain en charge de la sécurité est considérablement réduit.
La classification des alertes durant la phase de validation et la phase opérationnelle comporte, pour une nouvelle alerte donnée, les étapes suivantes :
-extraction de l'ensemble de mots composant ladite nouvelle alerte donnée,
-comparaison des probabilités d'appartenance de la nouvelle alerte donnée à l'une et à l'autre desdites catégories,
-classement de la nouvelle alerte donnée dans l'une des deux catégories selon le résultat de la comparaison de l'étape précédente, -incrémentation des compteurs selon la catégorie de la nouvelle alerte donnée, et
-transmission de la nouvelle alerte donnée ainsi classée à la console de présentation des alertes.
Ainsi, en utilisant l'ensemble de mots constituants les alertes et leurs compteurs associés selon les étapes ci-dessus, les alertes peuvent être classées avec une fiabilité continuellement croissante.
La comparaison des probabilités d'appartenance de la nouvelle alerte donnée à l'une et à l'autre desdites catégories comporte les étapes suivantes : -calculer pour chaque mot de l'ensemble de mots de ladite nouvelle alerte, la probabilité que chaque mot soit présent dans des alertes appartenant à l'une ou à l'autre des catégories en déterminant le rapport entre le compteur désignant le nombre cumulé d'occurrences de chaque mot dans des alertes de l'une ou l'autre des catégories et le nombre total d'occurrences de mots dans l'une ou l'autre des catégories respectivement,
-calculer la probabilité de chaque catégorie en déterminant le rapport entre le nombre total d'occurrences de mots dans des alertes de chaque catégorie et le nombre total de mots,
-calculer le produit, sur l'ensemble des mots composant l'alerte, des probabilités que chaque mot respectif de l'alerte soit présent dans des alertes appartenant à chaque catégorie multiplié par la probabilité de chaque catégorie, et -comparer le résultat de l'étape précédente selon les deux catégories.
Ainsi, les étapes ci-dessus tirent profit des compteurs pour comparer les probabilités d'appartenance d'une alerte donnée à l'une et à l'autre des catégories avec un nombre optimal d'étapes de calcul, minimisant par conséquent le temps de calcul. Avantageusement, la correction par le module de suppression de fausses alertes, de la classification des nouvelles alertes durant la phase de validation comporte les étapes suivantes : -correction de la catégorie d'une nouvelle alerte précédemment classée par ledit module, s'il reçoit une notification de l'opérateur humain indiquant que ledit précédent classement de ladite nouvelle alerte est faux,
-décrémentation des compteurs désignant les nombres cumulés d'occurrences de mots dans la catégorie faussement classée, -incrémentation des compteurs désignant les nombres cumulés d'occurrences de mots dans la catégorie corrigée. Ainsi, le réglage des compteurs est un moyen efficace et rapide pour améliorer l'apprentissage du MSFA.
L'invention vise aussi un module de suppression de fausses alertes comportant : -des moyens de traitement de données permettant de classer automatiquement les alertes suivant deux catégories constituées de fausses et vraies alertes selon des critères déterminés basés sur un apprentissage progressif à partir de l'expertise d'un opérateur humain en charge d'un classement initial manuel des alertes, et -des moyens mémoires permettant d'enregistrer, lors d'une phase d'apprentissage initial de l'apprentissage progressif, des diagnostics de l'opérateur humain concernant un nombre déterminé d'alertes initiales en permettant pour une alerte initiale donnée d'extraire l'ensemble de mots composant ladite alerte initiale donnée et en associant à chaque mot dudit ensemble de mots, un compteur désignant le nombre cumulé d'occurrences dudit mot dans l'une des deux catégories, les moyens de traitement de données permettant en outre de procéder à la classification de nouvelles alertes en fonction dudit enregistrement de diagnostics et d'une supervision de l'opérateur humain qui confirme ou corrige les classifications de nouvelles alertes.
Avantageusement, lors d'une phase opérationnelle, les moyens de traitement de données sont destinés en outre à classifier de manière autonome de nouvelles alertes si un taux de correction de la classification des nouvelles alertes de la phase de validation devient inférieur à un nombre seuil déterminé.
De préférence, le module comporte en outre un moyen de stockage permettant de stocker, lors de la phase opérationnelle, les fausses alertes de sorte que seules les vraies alertes sont envoyées à une console de présentation des alertes. L'invention vise aussi un système d'informations surveillé comportant un réseau interne à surveiller, des sondes de détection d'intrusions, un système de gestion d'alertes, une console de présentation d'alertes, et un module de suppression de fausses alertes selon les caractéristiques ci-dessus.
Brève description des dessins
D'autres particularités et avantages de l'invention ressortiront à la lecture de la description faite, ci-après, à titre indicatif mais non limitatif, en référence aux dessins annexés, sur lesquels :
-la figure 1 est une vue très schématique d'un système d'informations surveillé comportant un module de suppression de fausses alertes selon l'invention ; et
-la figure 2 est un organigramme très schématique illustrant les étapes d'un procédé de suppression de fausses alertes parmi les alertes produites dans un système de sécurité d'informations, selon l'invention.
Description détaillée de modes de réalisation
La figure 1 illustre un exemple très schématique d'un réseau ou d'un système d'informations surveillé 1 comportant un système de sécurité d'informations 3, une console de présentation d'alertes « CPA » 5 et un réseau interne 7 à surveiller comprenant un ensemble d'entités, par exemple des stations de travail 7a, 7b, 7c, des serveurs 7d, des proxy web 7e etc. Le système de sécurité d'informations 3 comporte un ensemble
11 de sondes de détection d'intrusions « SDI » lia, 11b et lie destinées à émettre des alertes lorsque des attaques sont détectées, et un système de gestion d'alertes « SGA » 15 destiné à analyser les alertes émises par les sondes lia, 11b et lie et comprenant des modules de traitement d'alertes « MTA » 15a, 15b. En outre, conformément à l'invention, le système de sécurité d'informations 3 comporte un module de suppression de fausses alertes
« MSFA » 17 connecté aux sondes de détection d'intrusions lia, 11b et lie, au système de gestion d'alertes 15, et à la console de présentation d'alertes 5, par l'intermédiaire d'un routeur 19 d'aiguillage.
En effet, le routeur 19 est connecté au MSFA 17 via des liaisons 18a et 18b, aux sondes de détection d'intrusions lia, 11b et lie via des liaisons 13a, 13b et 13c, au SGA 15 via des liaisons 16a et 16b, et à la CPA 5 via une liaison 6. Le module de suppression de fausses alertes 17 comporte des moyens de traitement 21 de données permettant de classer (c'est-à-dire marquer) automatiquement les alertes suivant deux catégories constituées de fausses et vraies alertes selon des critères déterminés basés sur un apprentissage progressif du MSFA 17 à partir de l'expertise d'un opérateur humain 23 en charge d'un classement initial manuel des alertes. Ces critères déterminés comportent une comparaison des probabilités d'appartenance des alertes à l'une et à l'autre des deux catégories. Ainsi, un programme informatique conçu pour mettre en œuvre un procédé de suppression de fausses alertes selon la présente invention peut être exécuté par les moyens de traitement 21 du MSFA 17.
Le MSFA 17 selon l'invention est adaptatif en ce sens qu'il intègre progressivement l'expertise de l'opérateur humain 23 en charge de la qualification initiale manuelle des fausses alertes et présente trois phases successives de fonctionnement (voir aussi figure 2). La première phase Pl est une phase d'apprentissage initial dans lequel le MSFA 17 ne marque pas les alertes, il se contente d'enregistrer les diagnostics de l'opérateur humain 23. En effet, le MSFA 17 comporte des moyens mémoires 25 permettant aux moyens de traitement 21 d'enregistrer des diagnostics de l'opérateur humain 23 concernant un nombre déterminé d'alertes initiales. La deuxième phase P2 est une phase de validation dans laquelle les moyens de traitement 21 de données du MSFA 17 procèdent à la classification de nouvelles alertes en fonction de l'enregistrement de diagnostics et d'une supervision de l'opérateur humain 23 qui confirme ou corrige les classifications de nouvelles alertes. En effet, lorsque le nombre d'alertes ayant transité par le MSFA 17 a atteint un nombre suffisant, par exemple supérieur à un seuil fixé par l'opérateur humain 23, le MSFA 17 commence à marquer les alertes, qui lui sont présentées à travers la liaison 18a. Avantageusement, dans la phase de validation, les confirmations ou corrections des classifications de nouvelles alertes apportées par l'opérateur humain 23 sont utilisées par le module de suppression de fausses alertes 17 pour minimiser un taux de correction lui permettant d'augmenter la fiabilité de toute classification ultérieure de nouvelles alertes.
Ainsi, les première et deuxième phases d'apprentissage initial et de validation forment un apprentissage progressif du MSFA 17.
Par ailleurs, la troisième phase P3 est une phase opérationnelle dans laquelle la classification des nouvelles alertes est effectuée de manière autonome par les moyens de traitement 21 du MSFA 17 si le taux de correction de la classification des nouvelles alertes de la phase de validation devient inférieur à un nombre seuil déterminé. Ainsi, le MSFA 17 marque les alertes et envoie seulement les vraies alertes à la console de présentation des alertes CPA 5. Les fausses alertes sont soit directement supprimées, soit stockées dans les moyens mémoires 25 ou de préférence dans un moyen de stockage 27 annexe via une liaison 26. Le choix entre la suppression ou le stockage des fausses alertes peut être déterminé par l'opérateur humain 23.
Ainsi, le MSFA 17 est destiné à traiter les alertes provenant directement des SDI lia, 11b, lie via les liaisons 13a, 13b, 13c et 18a ou éventuellement des autres MTA 15a, 15b via les liaisons 16b et 18a. Chaque alerte générée par un SDI lia, 11b, lie ou un MTA 15a, 15b est soumise au MSFA 17 pour analyse. Le MSFA 17 marque les alertes qu'il juge être de fausses alertes et les soumet (liaisons 18b, 16a) au SGA 15. L'alerte munie de son marquage est ensuite envoyée (liaisons 16b, 6) à la CPA 5 pour y être consultée par l'opérateur humain 23 de sécurité.
On notera que, au cours des deuxième et troisième phases, l'opérateur humain 23 peut toujours intervenir, par exemple via une liaison directe 8 avec le MSFA 17 pour réviser les diagnostics de ce dernier. En effet, en cas d'erreur de qualification d'une alerte par le MSFA 17, l'opérateur humain 23 a la possibilité de corriger le diagnostic du MSFA 17 a posteriori via la CPA 5. Cette correction est transmise (liaison 8) au MSFA 17, qui révise ainsi ses diagnostics ultérieurs en prenant en compte la correction apportée par l'opérateur humain 23. Ainsi, l'apprentissage du MSFA 17 est supervisé par l'opérateur humain 23 de sécurité qui apprend à ce dernier à classifier les alertes. De plus, cet apprentissage est progressif car au début, le MSFA 17 commet des erreurs de marquage et au fur et à mesure que l'opérateur humain 23 de sécurité confirme ou infirme les marquages, le diagnostic du MSFA 17 devient plus fiable. Finalement, lorsque le filtrage du MSFA 17 est suffisamment fiable, c'est à dire que son taux d'erreur de classification est tolérable, les alertes identifiées comme étant de fausses alertes (faux positifs) peuvent être soit directement supprimées, soit stockées dans le moyen de stockage 27 annexe de manière à ce que seules les vraies alertes (vrais positifs) soient présentées à l'opérateur humain 23. Le travail de l'opérateur humain 23 se trouve donc facilité car le volume d'alertes qui lui est présenté est très réduit.
Ainsi, le critère permettant de décider si une alerte est un vrai ou un faux positif est basé sur une comparaison des probabilités d'appartenance des alertes à l'une et à l'autre des deux catégories. D'une manière générale, un « message d'alerte » a (ou plus simplement une alerte a ) peut être défini comme un ensemble de n mots m,e{, n}, n étant un nombre entier qui peut varier d'une alerte à une autre : a = (mx,...,mn ). Les mots d'une alerte désignent par exemple la nature d'une attaque contre le système d'informations 1, l'identité des victimes, l'identité présumée des attaquants, le type de faille exploitée, et la date.
Conformément à l'invention, étant donné une alerte a , le problème à résoudre Q consiste à déterminer si la probabilité que l'alerte a soit un faux positif est supérieure à la probabilité que l'alerte a soit un vrai positif. Si c'est le cas, alors l'alerte a est marquée comme « faux positif » sinon l'alerte a est inchangée (c'est-à-dire considérée comme « vrai positif »).
On désigne par P(vp \ mx ,...,mn) la probabilité qu'une alerte a contenant les mots mι,...,mn soit un vrai positif vp et P{fp \ mx,...,mn) la probabilité qu'une alerte a contenant les mots mx,...,mn soit un faux positif fp .
Le problème Q consiste donc à déterminer si
P{fp \ mι,...,mn)≤P(vp \ mx,...,mn) Cependant, d'après la définition des probabilités conditionnelles :
Par conséquent, le problème Q se réduit à déterminer si
P(fp,mx ,...,mn )≤ P{vp,mx ,...,mn ) . En outre, étant donné que P(fp \ mx,...,mn ) = P(mx,...,mn \ fp).P{fp) et p(vp\ mι,...,mn)= P(mι,...,mn \ vp).P(vp) et en faisant l'hypothèse que les variables m, sont conditionnellement indépendantes entre elles, il s'ensuit :
P{fp,mx,...,mn ) = P{mx \ fp). P(mn | ^).P(fp) et P(vp,m] ,...,mn ) = P{mι \ vp). P(mn | vp).P(vp) .
Les valeurs P(m, | C) représentent la probabilité qu'un mot m, soit présent dans une alerte qui appartient à la classe ou catégorie
Ce {vp,fp}.
Au cours de l'apprentissage du MSFA 17, les moyens de traitement 21 construisent des compteurs Hc qui indiquent la fréquence des différents mots dans les deux catégories Ce {vp,fp}. En effet, le MSFA 17 construit une première table de hashage Hfp qui associe à chaque mot M1 la valeur H ^m1) qui désigne le nombre cumulé d'occurrences du mot M1 dans des alertes qui sont des faux positifs, ainsi qu'une seconde table de hashage Hvp qui associe à chaque mot m, la valeur H^m1 ) qui désigne le nombre cumulé d'occurrences du mot m, dans des alertes qui sont des vrais positifs. Dans la suite, la notation mots(Hc) désigne le domaine de définition de la table de hachage Hc , c'est-à-dire l'ensemble des mots correspondant à la catégorie Ce {vp,fp}. Par conséquent, le nombre total d'occurrences de mots dans des vrais positifs est donné par la formule suivante :
Nvp = ∑Hjm,).
De même, le nombre total d'occurrences de mots dans des faux positifs est donné par la formule suivante : Nn, = ∑Hfp(m,) Par ailleurs, la probabilité qu'un mot m, soit présent dans une alerte qui appartient à la classe Ce {vp,fp} est donnée par la formule suivante :
Jy c En outre, la probabilité d'une classe C est donnée par la formule suivante :
Par conséquent, les deux dernières formules permettent de calculer les probabilités p(fp,mx,...,mn) et P(vp,mγ,...,mn) et ainsi de résoudre le problème Q ci-dessus.
La figure 2 est un organigramme très schématique illustrant les étapes du procédé de suppression de fausses alertes parmi les alertes produites dans un système de sécurité d'informations 3.
Les étapes El à E3 décrivent l'enregistrement dans les moyens mémoires 25 du MSFA 17 des diagnostics de l'opérateur humain 23 durant la phase d'apprentissage initial Pl.
A l'étape El, le MSFA 17 reçoit une alerte initiale donnée a' .
A l'étape E2, le MSFA 17 procède à l'extraction de l'ensemble de mots m\ composant cette alerte initiale donnée ; a'= (m\ ,...,m'J. A l'étape E3, le MSFA 17 associe à chaque mot m\ de l'ensemble de mots {m\ ,...,m'n}, un compteur Hc(m\ ) désignant le nombre cumulé d'occurrences du mot m\ dans l'une des deux catégories
Ce {vp,fp}.
L'étape E4 est un test destiné à vérifier si le nombre d'alertes ayant transité par le MSFA 17 a atteint un nombre suffisant. Ainsi, lorsque le nombre d'alertes est inférieur à un nombre seuil fixé par exemple par l'opérateur humain 23, on reboucle à l'étape El. En revanche, si le nombre d'alertes n'est pas inférieur au nombre seuil alors on passe aux étapes E5 à E14 décrivant la classification des alertes, par le MSFA 17 durant la phase de validation P2.
On notera que dans la phase d'apprentissage initiale Pl, aucun marquage n'est effectué par le MSFA 17.
L'étape E5 indique la réception par le MSFA 17 d'une nouvelle alerte donnée notée a .
A l'étape E6, le MSFA 17 procède à l'extraction de l'ensemble de mots m, composant cette nouvelle alerte donnée α = (m,,...,mj. A l'étape E7, les probabilités d'appartenance de la nouvelle alerte donnée a à l'une et à l'autre des catégories sont comparées :
P{fp \ mv...,mn )≤ P{vp \ m{,...,mn ) .
Cette comparaison peut comporter les sous étapes E71 à E74 suivantes : A l'étape E71, le MSFA 17 calcule pour chaque mot m, de l'ensemble de mots {mv...,mn} de la nouvelle alerte a, la probabilité que chaque mot m, soit présent dans des alertes appartenant à l'une ou à l'autre des catégories C (Ce {vp,fp}) en déterminant le rapport entre le compteur Hc(m, ) désignant le nombre cumulé d'occurrences de chaque mot m, dans des alertes de l'une ou l'autre des catégories C et le nombre total Nc d'occurrences de mots dans l'une ou l'autre des catégories
respectivement, c'est-à-dire P(m \ c) = — c ^m' ' .
A l'étape E72, le MSFA 17 calcule la probabilité de chaque catégorie en déterminant le rapport entre le nombre total Nc d'occurrences de mots dans des alertes de chaque catégorie C et le
nombre total de mots Nvp + Nfp , c'est-à-dire P(C)= — N(' N v + N* A l'étape E73, le MSFA 17 calcule le produit, sur l'ensemble des mots {mx,...,mn} composant la nouvelle alerte donnée a, des probabilités
P{m, I C) que chaque mot respectif de cette alerte soit présent dans des alertes appartenant à chaque catégorie multiplié par la probabilité de
chaque catégorie P{c), c'est-à-dire I JJP[M1 | C)IP(C) .
A l'étape E74, le MSFA 17 compare le résultat de l'étape précédente selon les deux catégories, c'est-à-dire :
( Y[P[M1 |#)Wp)<fπP(m, |vp)l.P(vp) .
A l'étape E8, la nouvelle alerte donnée a est classée par le MSFA 17 dans l'une des deux catégories selon le résultat de la comparaison de l'étape précédente E7.
A l'étape E9, le MSFA 17 incrémente les compteurs Hc(m,) selon la catégorie Ce {vp,fp} de la nouvelle alerte donnée.
Ensuite, à l'étape ElO, le MSFA 17 transmet la nouvelle alerte donnée a ainsi classée (marquée) à la console de présentation des alertes
CPA 5.
Eventuellement, l'opérateur humain 23 interagit avec le MSFA
17 via la CPA 5 pour corriger un diagnostic erroné effectué par le MSFA
17. En effet, à l'étape EIl, si le MSFA 17 reçoit une notification de l'opérateur humain 23 indiquant que le précédent classement C de la nouvelle alerte a est faux, alors le MSFA 17 procède à la correction du diagnostic selon les étapes E12 à E14, sinon on passe directement à l'étape E15. A l'étape E12, le MSFA 17 corrige la catégorie de la nouvelle alerte a selon la notification de l'opérateur humain 23. Autrement dit, le MSFA 17 marque la nouvelle alerte a par un classement C contraire au classement antérieure .
A l'étape E13, le MSFA 17 décrémente les compteurs Hc(m,) désignant les nombres cumulés d'occurrences de mots dans la catégorie C faussement classée.
A l'étape E14, le MSFA 17 incrémente les compteurs H1Xm1) désignant les nombres cumulés d'occurrences de mots dans la catégorie corrigée C .
L'étape E15 est un test destiné à vérifier si le taux d'erreur de classification est tolérable.
En effet, tant que le taux de correction de la classification des nouvelles alertes de la phase de validation P2 n'est pas inférieur à un nombre seuil déterminé, on reboucle à l'étape E5.
Sinon, on passe aux étapes E16 à E22 décrivant la classification des alertes, par le MSFA 17 durant la phase opérationnelle P3. Les étapes E16 à E21 sont similaires aux étapes E5 à ElO de la phase de validation P2.
En effet, à la réception d'une autre nouvelle alerte a à l'étape E16, le MSFA 17 procède à extraire à l'étape E17, l'ensemble de mots m, composant cette nouvelle alerte a = {mx,...,mn). L'étape E18, est une comparaison des probabilités d'appartenance de cette nouvelle alerte à l'une et à l'autre des catégories. L'étape E19 est le classement de la nouvelle alerte. L'étape E20, consiste à incrémenter les compteurs selon la catégorie de classement de la nouvelle alerte. A l'étape E21, le MSFA 17 transmet la nouvelle alerte ainsi classée à la CPA 5.
Finalement, à l'étape E22 les fausses alertes sont stockées dans le moyen de stockage 27. En variante à l'étape E22 les fausses alertes peuvent être supprimées. Ainsi, le MSFA 17 selon l'invention, évalue la probabilité qu'une alerte soit un faux positif en fonction des mots qui la composent. Le MSFA 17 marque les alertes qu'il juge être des faux positifs et transmet l'alerte munie de son marquage à l'opérateur humain 23 de sécurité. Ce dernier a la possibilité de modifier le diagnostic effectué par le MSFA 17 si celui-ci est erroné via la console de présentation des alertes CPA 5. Dans ce dernier cas, la modification est prise en compte par le MSFA 17 pour réviser ses diagnostics ultérieurs.
De cette manière, la fiabilité du MSFA 17 dans le traitement des alertes va croissant à mesure que l'opérateur humain 23 corrige ses diagnostics.

Claims

REVENDICATIONS
1. Procédé de suppression de fausses alertes parmi les alertes produites dans un système d'informations surveillé (1), caractérisé en ce que les alertes sont classées automatiquement au moyen d'un module de suppression de fausses alertes (17) suivant deux catégories constituées de fausses et vraies alertes selon des critères déterminés basés sur un apprentissage progressif dudit module (17) à partir de l'expertise d'un opérateur humain (23) en charge d'un classement initial manuel des alertes, ledit apprentissage progressif comportant les phases suivantes : -une phase d'apprentissage initial (Pl) dans laquelle ledit module de suppression de fausses alertes (17) procède à un enregistrement de diagnostics de l'opérateur humain (23) concernant un nombre déterminé d'alertes initiales et comprenant pour une alerte initiale donnée, une extraction de l'ensemble de mots composant ladite alerte initiale donnée, et une association à chaque mot dudit ensemble de mots, d'un compteur désignant le nombre cumulé d'occurrences dudit mot dans l'une des deux catégories, et -une phase de validation (P2) dans laquelle ledit module de suppression de fausses alertes (17) procède à la classification de nouvelles alertes en fonction dudit enregistrement de diagnostics et d'une supervision de l'opérateur humain (23) qui confirme ou corrige les classifications de nouvelles alertes.
2. Procédé selon la revendication 1, caractérisé en ce que lesdits critères déterminés comportent une comparaison des probabilités d'appartenance des alertes à l'une et à l'autre desdites deux catégories.
3. Procédé selon la revendication 1, caractérisé en ce que dans la phase de validation (P2), lesdites confirmations ou corrections des classifications de nouvelles alertes apportées par l'opérateur humain (23) sont utilisées par le module de suppression de fausses alertes (17) pour minimiser un taux de correction lui permettant d'augmenter la fiabilité de toute classification ultérieure de nouvelles alertes.
4.Procédé selon la revendication 3, caractérisé en ce qu'il comporte une phase opérationnelle (P3) dans laquelle la classification des nouvelles alertes est effectuée de manière autonome, si le taux de correction de la classification des nouvelles alertes de la phase de validation (P2) devient inférieur à un nombre seuil déterminé.
5. Procédé selon la revendication 4, caractérisé en ce que dans la phase opérationnelle (P3), les fausses alertes sont supprimées ou stockées dans un moyen de stockage (27) et seules les vraies alertes sont envoyées à une console de présentation des alertes (5).
6. Procédé selon l'une quelconque des revendications 1 à 5, caractérisé en ce que la classification des alertes durant la phase de validation (P2) et la phase opérationnelle (P3) comporte, pour une nouvelle alerte donnée, les étapes suivantes :
-extraction de l'ensemble de mots composant ladite nouvelle alerte donnée,
-comparaison des probabilités d'appartenance de la nouvelle alerte donnée à l'une et à l'autre desdites catégories, -classement de la nouvelle alerte donnée dans l'une des deux catégories selon le résultat de la comparaison de l'étape précédente,
-incrémentation des compteurs selon la catégorie de la nouvelle alerte donnée, et
-transmission de la nouvelle alerte donnée ainsi classée à la console de présentation des alertes (5).
7. Procédé selon la revendication 6, caractérisé en ce que la comparaison des probabilités d'appartenance de la nouvelle alerte donnée à l'une et à l'autre desdites catégories comporte les étapes suivantes : -calculer pour chaque mot de l'ensemble de mots de ladite nouvelle alerte, la probabilité que chaque mot soit présent dans des alertes appartenant à l'une ou à l'autre des catégories en déterminant le rapport entre le compteur désignant le nombre cumulé d'occurrences de chaque mot dans des alertes de l'une ou l'autre des catégories et le nombre total d'occurrences de mots dans l'une ou l'autre des catégories respectivement,
-calculer la probabilité de chaque catégorie en déterminant le rapport entre le nombre total d'occurrences de mots dans des alertes de chaque catégorie et le nombre total de mots, -calculer le produit, sur l'ensemble des mots composant l'alerte, des probabilités que chaque mot respectif de l'alerte soit présent dans des alertes appartenant à chaque catégorie multiplié par la probabilité de chaque catégorie, et -comparer le résultat de l'étape précédente selon les deux catégories.
8. Procédé selon l'une quelconque des revendications 1 à 7, caractérisé en ce que la correction par ledit module de suppression de fausses alertes (17) de la classification des nouvelles alertes durant la phase de validation (P2) comporte les étapes suivantes : -correction de la catégorie d'une nouvelle alerte précédemment classée par ledit module (17) s'il reçoit une notification de l'opérateur humain (23) indiquant que ledit précédent classement de ladite nouvelle alerte est faux, -décrémentation des compteurs désignant les nombres cumulés d'occurrences de mots dans la catégorie faussement classée, -incrémentation des compteurs désignant les nombres cumulés d'occurrences de mots dans la catégorie corrigée.
9. Module de suppression de fausses alertes, caractérisé en ce qu'il comporte :
-des moyens de traitement (21) de données permettant de classer automatiquement les alertes suivant deux catégories constituées de fausses et vraies alertes selon des critères déterminés basés sur un apprentissage progressif à partir de l'expertise d'un opérateur humain (23) en charge d'un classement initial manuel des alertes, et
-des moyens mémoires (25) permettant d'enregistrer, lors d'une phase d'apprentissage initial de l'apprentissage progressif, des diagnostics de l'opérateur humain (23) concernant un nombre déterminé d'alertes initiales en permettant pour une alerte initiale donnée d'extraire l'ensemble de mots composant ladite alerte initiale donnée et en associant à chaque mot dudit ensemble de mots, un compteur désignant le nombre cumulé d'occurrences dudit mot dans l'une des deux catégories, les moyens de traitement (21) de données permettant en outre de procéder à la classification de nouvelles alertes en fonction dudit enregistrement de diagnostics et d'une supervision de l'opérateur humain (23) qui confirme ou corrige les classifications de nouvelles alertes.
10. Module selon la revendication 9, caractérisé en ce que lors d'une phase opérationnelle (P3), les moyens de traitement (21) de données sont destinés en outre à classifler de manière autonome de nouvelles alertes si un taux de correction de la classification des nouvelles alertes de la phase de validation (P2) devient inférieur à un nombre seuil déterminé.
11. Module selon la revendication 10, caractérisé en ce qu'il comporte en outre un moyen de stockage (27) permettant de stocker, lors de la phase opérationnelle, les fausses alertes de sorte que seules les vraies alertes sont envoyées à une console de présentation des alertes (5).
12. Système d'informations surveillé comportant un réseau interne à surveiller (7), des sondes de détection d'intrusions (lia, llb, Ile), un système de gestion d'alertes (15), et une console de présentation d'alertes (5) caractérisé en ce qu'il comporte en outre un module de suppression de fausses alertes (17) selon l'une quelconque des revendications 9 à 11.
EP05819246A 2004-11-26 2005-11-24 Suppression de fausses alertes parmi les alertes produites dans un systeme d'informations surveille Expired - Lifetime EP1820170B1 (fr)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
FR0412559A FR2878637A1 (fr) 2004-11-26 2004-11-26 Suppression de fausses alertes parmi les alertes produites dans un systeme d'informations surveille
PCT/FR2005/050983 WO2006056721A1 (fr) 2004-11-26 2005-11-24 Suppression de fausses alertes parmi les alertes produites dans un systeme d'informations surveille

Publications (2)

Publication Number Publication Date
EP1820170A1 true EP1820170A1 (fr) 2007-08-22
EP1820170B1 EP1820170B1 (fr) 2008-04-16

Family

ID=34951737

Family Applications (1)

Application Number Title Priority Date Filing Date
EP05819246A Expired - Lifetime EP1820170B1 (fr) 2004-11-26 2005-11-24 Suppression de fausses alertes parmi les alertes produites dans un systeme d'informations surveille

Country Status (6)

Country Link
US (1) US20070300302A1 (fr)
EP (1) EP1820170B1 (fr)
AT (1) ATE392685T1 (fr)
DE (1) DE602005006156T2 (fr)
FR (1) FR2878637A1 (fr)
WO (1) WO2006056721A1 (fr)

Families Citing this family (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
GB2379752A (en) * 2001-06-05 2003-03-19 Abb Ab Root cause analysis under conditions of uncertainty
WO2008097222A2 (fr) 2007-02-08 2008-08-14 Utc Fire & Security Corporation Système et procédé pour une amélioration d'algorithme de traitement vidéo
US8175377B2 (en) * 2009-06-30 2012-05-08 Xerox Corporation Method and system for training classification and extraction engine in an imaging solution
US8531316B2 (en) * 2009-10-28 2013-09-10 Nicholas F. Velado Nautic alert apparatus, system and method
KR101748122B1 (ko) * 2015-09-09 2017-06-16 삼성에스디에스 주식회사 경보의 오류율 계산 방법
US9923910B2 (en) * 2015-10-05 2018-03-20 Cisco Technology, Inc. Dynamic installation of behavioral white labels
WO2018119776A1 (fr) * 2016-12-28 2018-07-05 深圳中兴力维技术有限公司 Procédé et dispositif de traitement d'alarme
WO2020115606A1 (fr) 2018-12-07 2020-06-11 3M Innovative Properties Company Système adaptatif de notifications basé sur des informations contextuelles
US11734086B2 (en) * 2019-03-29 2023-08-22 Hewlett Packard Enterprise Development Lp Operation-based event suppression

Family Cites Families (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
GB9116255D0 (en) * 1991-07-27 1991-09-11 Dodd Nigel A Apparatus and method for monitoring
EP0856826A3 (fr) * 1997-02-04 1999-11-24 Neil James Stevenson Système de sécurité
AU2001295016A1 (en) * 2000-09-01 2002-03-13 Sri International, Inc. Probabilistic alert correlation
US6907436B2 (en) * 2000-10-27 2005-06-14 Arizona Board Of Regents, Acting For And On Behalf Of Arizona State University Method for classifying data using clustering and classification algorithm supervised

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See references of WO2006056721A1 *

Also Published As

Publication number Publication date
WO2006056721A1 (fr) 2006-06-01
ATE392685T1 (de) 2008-05-15
FR2878637A1 (fr) 2006-06-02
DE602005006156D1 (de) 2008-05-29
EP1820170B1 (fr) 2008-04-16
DE602005006156T2 (de) 2009-07-02
US20070300302A1 (en) 2007-12-27

Similar Documents

Publication Publication Date Title
EP3812974A1 (fr) Système d&#39;inférence d&#39;apprentissage par machine
CN116668083B (zh) 一种网络流量异常检测方法及系统
CN119071052A (zh) 交换机的网络异常监测方法及系统
US20230328080A1 (en) Systems and methods of malware detection
AU2017274576B2 (en) Classification of log data
EP1695485A2 (fr) Procede de classification automatique d un ensemble d a lertes issues de sondes de detection d intrusions d un systeme de securite d information
US12206694B2 (en) Cyberattack identification in a network environment
EP1820170B1 (fr) Suppression de fausses alertes parmi les alertes produites dans un systeme d&#39;informations surveille
Gesi et al. An empirical examination of the impact of bias on just-in-time defect prediction
CN113282920A (zh) 日志异常检测方法、装置、计算机设备和存储介质
Venkateswaran et al. Hybridized Wrapper Filter Using Deep Neural Network for Intrusion Detection.
US11887126B2 (en) Systems and methods for generating a probationary automated-decisioning workflow in a machine learning-task oriented digital threat or digital abuse mitigation system
CN114079579A (zh) 一种恶意加密流量检测方法及装置
Ourston et al. Coordinated internet attacks: responding to attack complexity
CN115081969B (zh) 异常数据确定方法及相关装置
CN117897702A (zh) 用于自动评估网络流量签名的质量的系统和方法
Ranpara et al. A novel Bayesian-inspired framework for proactive detection and mitigation of zero-day attacks in distributed network architectures
FR3089648A1 (fr) Procede de detection non supervise d’attaques internes et systeme associe
WO2020249719A1 (fr) Procede et systeme de fusion d&#39;informations
CN117879945A (zh) 基于协同入侵检测的网络数据安全防护方法及系统
EP3598330B1 (fr) Procédé et dispositif de détection d&#39;anomalie
EP4033386A1 (fr) Systèmes et procédés de fiabilité de capteur
CN116382997A (zh) 基于错误日志的告警方法、装置、计算机设备和存储介质
CN121174156B (zh) 一种短信异常检测方法、装置、设备及存储介质
CN118965309B (zh) 数据处理方法、装置、设备及存储介质

Legal Events

Date Code Title Description
PUAI Public reference made under article 153(3) epc to a published international application that has entered the european phase

Free format text: ORIGINAL CODE: 0009012

17P Request for examination filed

Effective date: 20070621

AK Designated contracting states

Kind code of ref document: A1

Designated state(s): AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HU IE IS IT LI LT LU LV MC NL PL PT RO SE SI SK TR

GRAP Despatch of communication of intention to grant a patent

Free format text: ORIGINAL CODE: EPIDOSNIGR1

DAX Request for extension of the european patent (deleted)
GRAS Grant fee paid

Free format text: ORIGINAL CODE: EPIDOSNIGR3

GRAA (expected) grant

Free format text: ORIGINAL CODE: 0009210

AK Designated contracting states

Kind code of ref document: B1

Designated state(s): AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HU IE IS IT LI LT LU LV MC NL PL PT RO SE SI SK TR

REG Reference to a national code

Ref country code: CH

Ref legal event code: EP

REG Reference to a national code

Ref country code: IE

Ref legal event code: FG4D

Free format text: LANGUAGE OF EP DOCUMENT: FRENCH

REF Corresponds to:

Ref document number: 602005006156

Country of ref document: DE

Date of ref document: 20080529

Kind code of ref document: P

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: SI

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20080416

NLV1 Nl: lapsed or annulled due to failure to fulfill the requirements of art. 29p and 29m of the patents act
PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: PT

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20080917

Ref country code: BG

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20080716

Ref country code: FI

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20080416

Ref country code: NL

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20080416

Ref country code: ES

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20080727

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: PL

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20080416

Ref country code: LV

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20080416

Ref country code: AT

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20080416

REG Reference to a national code

Ref country code: IE

Ref legal event code: FD4D

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: IS

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20080816

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: LT

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20080416

Ref country code: CZ

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20080416

Ref country code: IE

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20080416

Ref country code: DK

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20080416

Ref country code: SE

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20080716

PLBE No opposition filed within time limit

Free format text: ORIGINAL CODE: 0009261

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: NO OPPOSITION FILED WITHIN TIME LIMIT

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: RO

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20080416

Ref country code: SK

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20080416

26N No opposition filed

Effective date: 20090119

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: EE

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20080416

BERE Be: lapsed

Owner name: FRANCE TELECOM S.A.

Effective date: 20081130

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: MC

Free format text: LAPSE BECAUSE OF NON-PAYMENT OF DUE FEES

Effective date: 20081130

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: IT

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20080416

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: BE

Free format text: LAPSE BECAUSE OF NON-PAYMENT OF DUE FEES

Effective date: 20081130

REG Reference to a national code

Ref country code: CH

Ref legal event code: PL

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: HU

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20081017

Ref country code: LU

Free format text: LAPSE BECAUSE OF NON-PAYMENT OF DUE FEES

Effective date: 20081124

Ref country code: CY

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20080416

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: TR

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20080416

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: LI

Free format text: LAPSE BECAUSE OF NON-PAYMENT OF DUE FEES

Effective date: 20091130

Ref country code: GR

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20080717

Ref country code: CH

Free format text: LAPSE BECAUSE OF NON-PAYMENT OF DUE FEES

Effective date: 20091130

PGFP Annual fee paid to national office [announced via postgrant information from national office to epo]

Ref country code: FR

Payment date: 20101217

Year of fee payment: 6

PGFP Annual fee paid to national office [announced via postgrant information from national office to epo]

Ref country code: DE

Payment date: 20101025

Year of fee payment: 6

PGFP Annual fee paid to national office [announced via postgrant information from national office to epo]

Ref country code: GB

Payment date: 20101026

Year of fee payment: 6

GBPC Gb: european patent ceased through non-payment of renewal fee

Effective date: 20111124

REG Reference to a national code

Ref country code: FR

Ref legal event code: ST

Effective date: 20120731

REG Reference to a national code

Ref country code: DE

Ref legal event code: R119

Ref document number: 602005006156

Country of ref document: DE

Effective date: 20120601

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: GB

Free format text: LAPSE BECAUSE OF NON-PAYMENT OF DUE FEES

Effective date: 20111124

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: FR

Free format text: LAPSE BECAUSE OF NON-PAYMENT OF DUE FEES

Effective date: 20111130

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: DE

Free format text: LAPSE BECAUSE OF NON-PAYMENT OF DUE FEES

Effective date: 20120601