基于树形规则的网络安全事件关联分析方法
事故树分析法与事件树分析法ppt详解.
（3）上下层之间用逻辑门连接； （4）层层分析到最基本的原因事件，把基本事件写
在圆形符号内，构成一个事故树状的分析图。
一、事故树分析基础
❖直接原因事件可以从以下三个方面考虑：
▪ 机械（电器）设备故障或损坏； ▪ 人的差错（操作、管理、指挥）； ▪ 环境不良。
该事故树的最小割集有四个，分别为：
{x3，x4} 、{x2，x4， x5}、{x1 ，x3}、{x1， x5 }
仓库火灾等效事故树示意图
T +
A1
A2
A3
A4
x3
x4 x2 x4 x5 x1 x3 x1 x5
练习
求出最小割 集，并画出 事故树的等 效图。
等效事故树：
▪ A+1=1，A • 1=A ❖狄摩根率：
▪ （A+B）'=A'•B'，（A•B）'=A'+B'
一、事故树分析基础
（五）事故树的化简： ❖将事故树中的各个事件用英文代码表示
（1）顶上事件：T （2）中间事件：Tx （3）基本事件：x ❖将事故树转化成数学表达式 ❖运用布尔代数法化简事故树
T
例：
本节主要内容：
一、事故树分析基础 二、事故树的定性分析 三、事故树的定量分析 四、事件树分析
二、事故树的定性分析
定性分析的目的是分析事故的发生规律和特点， 找出控制事故的可行方案，并从事故树结构上 分析各基本事件的重要程度，以便按轻重缓急 分别采取相应的对策。
（一）最小割集及其求法 （二）最小径集及其求法 （三）基本事件的结构重要度
（优选）事故树分析法与事件树分析法
事故树分析法与事件树分析法
03ቤተ መጻሕፍቲ ባይዱ
04
事件树分析法（ETA）
自下而上的分析方法。
05
06
从初始事件开始，分析各种可能的后续事 件及结果。
适用范围比较
事故树分析法（FTA）
01
适用于对复杂系统进行全面、
深入的分析。
02
特别适用于分析那些不易被直
接观察到或难以用实验方法重
现的事故。
03
事件树分析法（ETA）
04
适用于评估初始事件可能导致
背景
随着工业技术的不断发展，事故风险评估及预防控制越来越受到重视。事故树分析法与事件树分析法 作为常用的安全分析方法，在风险评估、事故预防等方面发挥着重要作用。
汇报范围
事件树分析法
阐述事件树分析法的基本概念 、分析方法、应用场景及局限 性。
应用案例
结合具体案例，展示事故树分 析法与事件树分析法在实际应 用中的效果及价值。
事故树分析法与事件树分析法
汇报人：XX
2024-01-23
CONTENTS
• 引言 • 事故树分析法概述 • 事件树分析法概述 • 事故树分析法与事件树分析法
比较 • 事故树分析法应用案例 • 事件树分析法应用案例 • 总结与展望
01
引言
目的和背景
目的
介绍事故树分析法与事件树分析法的概念、原理、应用及优缺点，为相关领域的安全风险评估提供参 考。
原理
事故树分析法以系统可能发生或已发生的事故（称为顶事件）作为分析起点，将导致事故发生的各种原因按因果 逻辑关系逐层列出，构成一个以顶事件为根，以基本事件为叶的倒立树状图。通过对事故树进行定性和定量分析 ，找出事故发生的主要原因和防止事故发生的途径。
系统安全分析方法8事故树分析法2
事故树定性分析主要是按事故树结构，求事故树的最小割集或最小径集，以及 基本事件的结构重要度，最后给出定性的结论。 4.事故树定量分析
事故树定量分析包括:根据各基本事件的发生概率，计算顶事件发生的概率; 计算各基本事件的概率重要度和临界重要度，最后给出定量的结论。 5.事故树分析的结果总结与应用
系统安全分析方法8事故树分析法2
一、FTA分析法的基本程序
2.编制事故树 (1)确定事故树的顶事件。确定顶事件是指确定所要分析的对象事件。根据事
故调查分析结果，选择易于发生且后果严重的(风险大的)事故作为顶事件。 (2)调查事故原因。从人、机、环境和信息等方面调查与事故树顶事件有关的
所有事故原因。 (3)编制事故树。把事故树顶事件与引起顶事件的原因事件，采用一些规定的
FTA不仅能分析出事故的直接原因，而且能深人提示事故的潜在原因,因此在工程或设备的设计 阶段、在事故查询或编制新的操作方法时，都可以使用FTA对它们的安全性作出评价。日本劳动 省积极推广FTA方法，并要求安全干部学会使用该种方法。
从1978年起，我国开始了FTA的研究和运用工作。实践证明FTA适合我国国情，应该在我国得 到普遍推广使用。
一、事故树分析及其步骤 二、事故树符号及其意义 三、事故树的作图 四、布尔代数化简事故树 五、最小割集和最小径集及其求法 六、基本事件的结构重要度分析 七、概率重要度与临界重要分析
系统安全分析方法8事故树分析法2
一、FTA分析法的基本程序
FTA是根据系统可能发生的事故或已经发生的事故所提供的信息,去寻找同事 故发生有关的原因,以便采取有效的防范措施,防止事故发生。一般可按下述步 骤进行。在具体分析过程中,分析人员可根据实际条件或资料的掌握程度选取 其中的若干步。
事故树分析法课件
卷卷卷卷
卷卷卷卷
卷卷卷卷卷卷 卷卷
•事故树分析法
2.2.3 事故树的符号及其意义
A C
➢条件与门 B1 B2
表示输入事件B1、B2不仅同时发生时，而且还必须满 足条件C, 才会有输出事件A发生。
卷卷卷卷卷卷卷
卷卷卷卷卷卷卷
卷卷卷卷
卷卷卷卷
•事故树分析法
2.2.3 事故树的符号及其意义
A
➢条件或门
•事故树分析法
2.2 事故树分析
• 事故树分析:
➢ 事故树分析的基本概念 ➢ 事故树分析步骤 ➢ 事故树的符号及其意义 ➢ 事故树的编制 ➢ 事故树定性分析 ➢ 事故树的定量分析 ➢ 基本事件的重要度分析
•事故树分析法
2.2.1 事故树分析的基本概念
• 问题：
已知卷扬机碾绞工人死亡的事故失效树及其基本
(分配律) (交换律) (等幂律) (吸收律)
q=q1q2=0.01
➢ 如果x1、x2发生，则不管x3是否发生，顶上事件都必
然发生，然而，当x3发生时，要使顶上事件发生，必
须要有x1、x2发生做条件，因此， x3是多余的。T的
发生仅依靠x1和x2。
•事故树分析法
2.2.6 事故树定性分析
➢ 事故树定性分析：
•事故树分析法
2.2.3 事故树的符号及其意义
• 事故树的编制：
– 事故树编制是事故树分析中最基本、最关键的环节。编制工作一般应由 系统设计人员、操作人员和可靠性分析人员组成的编制小组来完成。通 过编制过程能使小组人员深入了解系统，发现系统中的薄弱环节，这是 编制事故树的首要目的。
• 事故树的编制过程是一个严密的逻辑推理过程，应遵循以 下规则：
➢ 交换律
事件树分析中
事件树分析中事件树分析法是安全系统工程中常用的一种归纳推理分析方法，起源于决策树分析（简称DTA），它是一种按事故发展的时间顺序由初始事件开始推论可能的后果，从而进行危险源辨识的方法。
一、事件树分析的功用是一个动态分析过程，可以看出系统变化过程。
事件树分析时，事件树上只有成功或失败两种状态，可以快速推断和找出系统的事故，并能指出避免发生事故的途径。
各个系统中各个要素的故障概率，可以概略地计算出不希望时间的发生概率。
找出最严重的事故后果，为事故树确定顶上事件提供依据。
可以对已发生的事故进行原因分析。
二、分析原理事件树分析是从一个初始事件开始，按顺序分析事件向前发展中各个环节事件成功与失败的过程和结果。
任何一个事故都是由多环节事件发展变化形成的。
如果这些环节事件都失败或部分失败,就会导致事故发生。
事件树分析是由决策树演化而来的,最初是用于可靠性分析。
它的原理是按照系统的构成顺序,从初始元件开始,由左向右分析各元件成功与失败两种可能,直到最后一个元件为止。
分析的过程用图形表示出来,就得到近似水平的树形图。
事件树分析可以把事故发生发展的过程直观地展现出来,如果在事件(隐患)发展的不同阶段采取恰当措施阻断其向前发展,就可达到预防事故的目的。
三、分析步骤(1)确定初始事件1初始事件是事件树中在一定条件下造成事故后果的最初原因事件。
它可以是系统故障、设备失效、人员误操作或工艺过程异常等。
一般是选择分析人员最感兴趣的异常事件作为初始事件。
(2) 找出与初始事件有关的环节事件所谓环节事件就是出现在初始事件后一系列可能造成事故后果的其他原因事件。
(3) 画事件树把初始事件写在最左边,各种环节事件按顺序从左至右排列；从初始事件画一条水平线到第一个环节事件，在水平线未端画一垂直线段，垂直线段上端表示成功，下端表示失败；再从垂直线两端分别向右画水平线到下个环节事件，同样用垂直线段表示成功和失败两种状态；依次类推，直到最后一个环节事件为止。
事故树分析法
2.选好顶上事件：建造事故树首先要选定一个顶 上事件，即系统不希望发生的故障事件。选好顶上 事件有利于使整个系统故障分析相互联系起来。
一般考虑的事件有： 对安全构成威胁的事件—造成人身伤亡、或导致设 备财产重大损失（火灾、爆炸、中毒、严重后果）； 妨碍完成任务的事件—系统停工或丧失大部分功能； 严重影响经济效益的事件—通讯线路中断、交通停 顿等妨碍提高直接受益的因素。
A BAB
•事故树分析法
❖ 四、逻辑代数运算的重要规则 ❖ 1.代入规则：任何一个含有变量A的等式，如果将所有出
现A的位置都代之以一个逻辑函数F，则等式仍然成立。 ❖ A(B+C)=AB+BC 将C=C+D代入 ❖ 原式=AB+AC+AD ❖ 2.对偶规则 设F是一个逻辑函数，若将F中所有的“＋”换为“·”， “·”
因尚不明确的事件：二表示二次事件，即不是本系统的事 故原因事件，而是来自系统之外的原因事件。
矩形符号
园形符•事号故树分析法 菱形符号
房形符号
2.逻辑门符号
A
A
A
A
A
·
B1 B2 与门符号
+
B1 B2 或门符号
·a
B1 B2 条件与门符号
+a B1 B2 条件或门符号
a
B 限制门符号
事故树的逻辑门符号
➢ 熟悉系统。它是事故树分析的基础和依据。 ➢ 调查系统发生的事故。
2.事故树的编制
确定事故树的顶上事件：顶上事件是不希望发生的事件、易 于发生且后果严重的事件。
调查与顶上事件有关的所有原因事件。
编制事故树。
•事故树分析法
3.事故树定性分析：
系统安全工程_第四章_第三节_事故树分析法
逻辑（布尔） 逻辑（布尔）代数的一般知识
一、逻辑代数的一般知识 1.逻辑值和逻辑变量 1.逻辑值和逻辑变量 逻辑代数中的量只有两个不同的逻辑值“ 、 逻辑代数中的量只有两个不同的逻辑值“0”、 “1”－逻辑值；在逻辑代数中表示相反的状态， －逻辑值；在逻辑代数中表示相反的状态， 两种相互对立的方面，它没有数字含义。 两种相互对立的方面，它没有数字含义。 逻辑变量： 逻辑变量：在某一过程中可取不同的量称为 变量，只能取0和 两个值的变量称为逻辑变量 两个值的变量称为逻辑变量。 变量，只能取 和1两个值的变量称为逻辑变量。
一、事故树分析方法的特点
是故障事件在一定条件下的逻辑演绎推理方法， 是故障事件在一定条件下的逻辑演绎推理方法，可以就某 些特点的故障状态作逐层次分析， 些特点的故障状态作逐层次分析，分析各层次之间的各要 素的相互联系与制约关系，应用专门的符号标注出来； 素的相互联系与制约关系，应用专门的符号标注出来； 能对导致灾害或功能事故的各种因素及逻辑关系作出全面、 能对导致灾害或功能事故的各种因素及逻辑关系作出全面、 简洁的形象描述，为改进设计、 简洁的形象描述，为改进设计、制定安全技术措施提供依 据； 它不仅可以分析元部件故障对系统影响，而且可以分析对 它不仅可以分析元部件故障对系统影响， 导致这些元部件故障的特殊原因（ 环境）进行分析； 导致这些元部件故障的特殊原因（人、环境）进行分析； 它可作定性评价，也可定量计算系统的故障概率及可靠性， 它可作定性评价，也可定量计算系统的故障概率及可靠性， 为改善评价系统安全性和可靠性提供定量分析依据。 为改善评价系统安全性和可靠性提供定量分析依据。 它是图形化的技术资料，具有直观性。 它是图形化的技术资料，具有直观性。
事故树分析法
建造事故树时的注意事项： 建造事故树时的注意事项： 事故树反映出系统故障的内在联系和逻辑关系， 事故树反映出系统故障的内在联系和逻辑关系， 同时能使人一幕了然，形象地掌握这种联系与关系， 同时能使人一幕了然，形象地掌握这种联系与关系， 并据此进行正确的分析。 并据此进行正确的分析。 1.熟悉分析系统：建造事故树由全面熟悉开始。必 1.熟悉分析系统 建造事故树由全面熟悉开始。 熟悉分析系统： 须从功能的联系入手，充分了解与人员有关的功能， 须从功能的联系入手，充分了解与人员有关的功能， 掌握使用阶段的划分等与任务有关的功能， 掌握使用阶段的划分等与任务有关的功能，包括现 有的冗余功能以及安全、保护功能等。 有的冗余功能以及安全、保护功能等。 此外，使用、维修状况也要考虑周全。 此外，使用、维修状况也要考虑周全。这就要求 广泛地收集有关系统的设计、运行、流程图、 广泛地收集有关系统的设计、运行、流程图、设备 技术规范等技术文件及资料， 技术规范等技术文件及资料，并进行深入细致的分 析研究。 析研究。
事故WHYTREE分析方法ppt课件
核实假设的技巧
缺点事件
觀察現象 #1
觀察現象 #2
觀察現象 #3
觀察現象 #4
細化成假设干個問題(例) ： 引擎卡死了 沒有點火 壓縮不充分 空氣燃料混合不充分
假设該假設是 真，那麼缘由 是什麼？
引擎有問題
中間缘由
中間缘由
中間缘由
假设下一層的缘由中的一 個是真，那麼上面的假設 也是真。
中間缘由
中間缘由
• 留意：只在完成一个循环的“脑力风暴〞
六、核实
• 每一项假设都应核实。在没有核实前，运 用虚线框起。
• 核实的方法 • 测试- 油样分析，发动机动力测试 • 丈量- 振动，超音波，红外线 • 察看 - 摄像，照相 • 实验、实验 - 统计分析 (Six Sigma
Methodologies)
假设核实查表
他要问几次WHY?
• 阅历证明他要找到营运系统的根本缘由的
话，最起码他要问五次。
缺点事件
物理的缘由
為什麼？ 為什麼？
人的缘由
為什麼？ 為什麼？
系統的根本缘由
為什麼？
根本缘由
什么时候停顿问WHY？
•当他在营运系统的层面 上发现根本缘由时(处 理方案经常显而易见)。
•当他无法控制或影响处 理方案时：面对他无法 控制也无法影响的问题 时，忘了它，或找适宜 的人来对付它。
素被忽略。应该思索一切能够的缘由。
五、假设问题的思索:
• 变化 (CHANGE) • 一种改动行为或改动环境要素。可以用动词来
引导。举例如下：
• 为什么？由于操作员启动了送料泵 • 为什么？由于原料从阀门走漏 • 条件 (CONDITION) • 条件是一种被动的要素，事物的形状或继续的
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
万方数据
万方数据
万方数据
第ｌｌＡ期潘安群等：基于树形规则的网络安全事件关联分析方法·７９·
甚至第一步都没有，所以还可以添加其他支路，这里就不做更详细的说明。
图２ｗｉｎｎｕｋｅ攻击的关联指令
４试验结果
我们通过２方面的实验来试系统的性能：一是搭建一个攻击测试网络，在该网络上进行攻击实验；二是在真实的网络环境中测试系统的性能，实验环境包括中国教育科研网（ＣＥＲＮＥＴ）华中地区主干网的一个分支网络。
实验１在测试网络中，共有８台ＰＣ机，Ｖｍｗａｒｅ虚拟机１５台，主要有４种操作系统：ＤｅｂｉａＩｌＬｉｎｕｘ３．１，Ｗｉｎｄｏｗｓ２０００ＳｅｒｖｅｒＳＰｌ，Ｒｅｄｈａｔ７．２，ＷｉｎｏｄｗＸＰＳＰｌ。
其网络拓扑如图３。
图下面的网络为虚拟外网和攻击者，而上面的网络就是系统监控和保护的内部网络，其中Ｗｉｎｄｏｗｓ２０００和Ｒｅｄｌｌａｔ的机器都作为蜜罐系统，都运行了足够多的服务，并存在相当多的漏洞。
整个内部网络由一个ＳｎｏｒｔＩＤＳ，一个Ｉｐｔａｂｌｅｓ防火墙监控，还有一些其他辅助安全软件，例如Ｎｔｏｐ，ｐａｄｓ，ｐｏｆ，ｔｃｐ仃ａｃｋ等。
图３实验一网络拓扑
从外部几台机器不断的向内部网络中的主机发起各类攻击，包括后门，蠕虫，漏洞和端口扫描，Ｄｏｓ，ｗ曲攻击等等。
在为期两周的攻击模拟后，所产生的报警及各类可利用安全日志数量如表４（注：Ｓｎｏｒｔ安全日志单位为条数，其他日志都以其日志文件的字节数为单位）。
发现其中占较大比率的是蠕虫报警，同时也有相当大一部分属于漏洞和端口扫描的报警。
如果设定可信度的门限值为３，那么最终系统提供了４５２个可信度大于３的攻击场景，其中共包含３９８６条原始报警（表５）。
以一个攻击场景为一条关联后报警，那么报警的减少比率达到了９９．７％。
在通过手工确认以后，发现系统认为不成功的攻击确实没有成功。
在攻击场景还原方面，我们也发现的８０％攻击一般由３—４个步骤组成，每个步骤中在空间上重复的报警一般视所布置的安全设备多少而定。
一般一个攻击场景会包括４～６条左右的报警。
表４实验原始报警数据
实验２建立测试网络并进行攻击模拟的针对性太强，为了获得更真实的实验结果，系统直接监控ＣＥＲＮＥＴ华中地区主干网的一条带宽为２００Ｍ的链路。
整个链路由一台ＣｈｅｃｋＰｏｉｎｔ防火墙保护，予网络中配置有多台ＳｎｏｒｔＩＤＳ和ＩＰｔａｂｌｅｓ防火墙。
整个实验过程持续４天，得到各类安全数据如表４第２行。
通过关联分析后，发现大部分的报警依然是误报警。
关联分析结果认为只有８６７２个攻击场景，共包括４８９２８条报警（表５）。
通过手工确认以后，发现漏掉了一些影响较小的攻击。
表５实验结果
５结束语
本文针对目前网络安全管理所面对的安全数量巨大，误报严重，报警零散重复的３大问题，提出了一种基于树形规则的网络安全事件关联方法。
在目前机器学习等人工智能方法在安全管理方面应用还不是特别成熟的情况下，基于规则的方法因为其
本身的可扩展性及易配置性不失为一种好的解决方
万方数据
万方数据
基于树形规则的网络安全事件关联分析方法
作者：潘安群， 李芝棠， 雷杰， PAN An-qun， LI Zhi-tang， LEI Jie
作者单位：华中科技大学,计算机学院,湖北,武汉,430074
刊名：
通信学报
英文刊名：JOURNAL ON COMMUNICATIONS
年，卷(期)：2006,27(z1)
1.KRUEGEL C;ROBERTSON W Alert verification:determing the success of intrusion attemps 2004
2.NING P;XU D Learning attack strategies SRC intrusion alerts[外文会议] 2003
3.ARBOI M The Nessus Attack Scripting Language Reference Guide 2006
4.CUPPENS F;MIEGE A Alert correlation in a cooperative intrusion detection framework[外文会议] 2002
5.VALDES A;SKINNER K Probabilistic alert correlation 2001
6.JULISCH K Dealing with false positives in intrusion detection 2000
1.程渤.张新有.浮花玲.杨国纬基于主动诱骗的电力网络安全提升策略设计与实现[期刊论文]-电力系统自动化2004,28(21)
2.黄文培.HUANG Wen-pei网络安全状态在线定量评价算法[期刊论文]-铁道学报2005,27(5)
3.李俊山.张鹏.刘武.韩爱真.刘永红.Li Jun-shan.ZHANG Peng.Liu Wu.HAN Ai-zhen.LIU Yong-hong考虑底事件失效相关情况下的故障树分析方法研究[期刊论文]-机械2005,32(7)
4.贾超.李新群.Jia Chao.Li Xinqun高坝风险分析的事件树法[期刊论文]-水力发电2006,32(8)
5.苏义坤.田金信故障树耦合时基本事件重要度的分析方法及应用[会议论文]-2005
6.霍春勇.董玉华.高惠临.阎凤霞管道故障树基本事件分析的德尔斐法[期刊论文]-油气储运2005,24(1)
7.杨智.卢渊.伊向艺.李永寿应用三种关联分析法对油田压后产能影响因素的对比分析[期刊论文]-内蒙古石油化工2010,36(16)
8.沈全华.陈力生.SHEN Quan-hua.CHEN Li-sheng模糊事件树在船用堆事故分析中的应用研究[期刊论文]-中国修船2006,19(6)
9.朱国东.宁红宙.刘云.何德全.ZHU Guo-dong.NING Hong-zhou.LIU Yun.HE De-quan PKI体系下的网络安全性能评估算法[期刊论文]-通信学报2006,27(3)
10.王典嘉立窑喷窑事故的事故树及事件树分析[期刊论文]-四川水泥2000(5)
本文链接：/Periodical_txxb2006z1018.aspx。