基于隐马尔可夫模型的程序行为异常检测.pdfVIP

第 39 卷 　第 10 期 西 　安 　交 　通 　大 　学 　学 　报 Vol . 39 　№10 2005 年 10 月 J OU RN AL O F XI′AN J IA O TON G U N IV ER SI T Y Oct . 2005 基于隐马尔可夫模型的程序行为异常检测 张响亮 , 王 　伟 , 管晓宏 (西安交通大学电子与信息工程学院 , 7 10049 , 西安) 摘要 : 针对入侵检测中普遍存在误报与漏报过高的问题 ,提出了一种基于隐马尔可夫模型的程序行为异常 检测新方法. 该方法以程序正常执行过程中产生的系统调用序列为研究对象 ,建立计算机的正常程序行为模 型. 在入侵检测时 ,先对测试的系统调用数据用滑动窗口划分得到短序列 ,再根据正常程序行为的隐马尔可 夫模型求得每个测试短序列的输出概率 ,如果系统调用短序列的输出概率低于给定阈值 ,则将该短序列标定 为“不匹配”,如果测试数据中不匹配的短序列数占总短序列数的百分比超过另一给定阈值 ,该模型就认为此 程序行为异常. 实验结果表明 ,与 Forre st 和 L ee 的方法相比,所提方法的检测率的最大提高率可达 590 %. 关键词 : 入侵检测 ;隐马尔可夫模型 ;异常检测 ;系统调用 ( ) 中图分类号 : TP393 　文献标识码 : A 　文章编号 : 0253987X 2005 Detection of Anomalous Progra m Behaviors Based on Hidden Markov Model s Z h ang X i ang l i ang , W ang Wei , Guan X i aohong ( School of Elect ronics and Infor mation Engineering , Xi ′an J iaotong U niver sit y , Xi ′an 7 10049 , China) Abstract : To imp rove det ectio n accuracy , a new int r u sion det ectio n met ho d wit h high efficiency wa s p re s ent ed . The met ho d i s ba sed on hidden Mar kov mo del ( HMM) to p rofile nor mal p ro gram behavior s u sing t race s of sy st em call s generat ed durin g t he nor mal execution of p roce sse s. At t he st age of ano maly det ec tion , a t e stin g t race of sy st em call s i s divided into short sy st em call sequence s by moving alon g t he t race wit h a sliding window . The outp ut p robabilit y of a short sy st em call sequence embedded in t he t e sting t race i s calculat ed ba sed on t he nor mal mo del . If t he o utp ut p ro babilit y of a short sy s