Criterios Cuantitativos para la Correlación de Alertas de NIDS Basadas en Anomalías

Este artículo presenta un sistema de correlación de alertas para mitigar el problema de los falsos positivos en la detección de intrusiones basada en redes, cuando se aplican técnicas de detección anómalas. El sistema permite la evaluación cuantitativa de la probabilidad de que una alerta emitida debido a una anomalía se convierta en una amenaza real. Para ello, se tienen en cuenta las diferencias entre las características del modelo que representa el uso habitual y legítimo de la red, así como las características más representativas del tráfico que generó la alerta. El resultado es una evaluación cuantitativa de su similitud con el uso legítimo de la red, y la priorización de las alertas emitidas. Los experimentos han demostrado la validez de la propuesta. El 95.7% de los falsos positivos fueron etiquetados como alertas de tratamiento de baja prioridad, y las diversas amenazas reales fueron identificadas correctamente.