一种新的应用于数据流关联分析的多模式匹配算法

王瑞莹，邱 亮

(1.哈尔滨友盛科技有限公司，黑龙江哈尔滨150090;2.联通系统集成有限公司 黑龙江省分公司，黑龙江 哈尔滨150090;3.东北电力大学信息工程学院，吉林吉林132012)

随着电力企业信息化工作的不断深入，国家电网公司“SGl86”工程的实施，电力企业的信息化程度得到了空前的提升，为了确保电网业务数据的安全以及信息系统安全稳定的运行，电力企业先后在网络边界和信息内网部署了防病毒系统、防火墙、入侵检测系统、漏洞扫描系统等安全设备。但是这些安全系统都只能阻止单一的安全威胁，彼此之间缺乏有效而统一的管理调度机制，导致各个安全设备的效能难以得到充分地发挥［1］。此外，这些设备产生的海量日志事件中，可能隐含了新的更严重的安全事件，因此必须采用有效的分析手段对这些海量日志信息进行处理，以减少误报、避免重复报警、发现新的安全事件。基于数据流技术的安全事件关联分析引擎则可以达到这个目的。

本文主要对基于数据流技术的安全事件关联分析引擎中的模式匹配算法进行研究。

1 基于数据流技术的关联分析引擎

基于数据流技术的关联分析引擎将经过归一化处理后的海量日志信息形成的数据流在内存中采用基于滑动窗口模型的关联分析算法进行关联规则挖掘，然后利用多模式匹配算法将得到的关联规则与规则库中规则进行匹配，以便实时地发现异常行为，为后续告警响应及安全风险分析等提供依据。……