基于系统调用特征的入侵检测研究.pdfVIP

第 8 期 电　　子　　学　　报 Vol. 31 　No. 8 　2003 年 8 月 ACTA ELECTRONICA SINICA Aug. 　2003 　 基于系统调用特征的入侵检测研究 姚立红 ,訾小超 ,黄 　皓 ,茅 　兵 ,谢 　立 (南京大学计算机软件新技术国家重点实验室 ,江苏南京 210093 ; 南京大学计算机科学与技术系 ,江苏南京 210093) 　　摘 　要 : 　对网络服务程序进行攻击是非法用户入侵系统的主要途径 ,针对关键程序的入侵检测近年来受到重 视. 该文提出的 CTBIDS 检测模型在利用系统调用特征树描述程序行为特征的基础上 ,通过异常有限积累判别程序入 侵 ,既能体现异常状况的长期积累 ,也能很好地反映入侵的异常局部性原理. 此外 ,该文通过统计分析方法确定入侵判 别参数 ,使得入侵判别更加准确. 测试及试用结果表明 CTBIDS 能有效检测出针对关键程序的攻击. 关键词 : 　信息安全 ; 入侵检测 ; 系统调用序列 中图分类号: 　TP393 　　　文献标识码 : 　A 　　　文章编号 : (2003) Re search of System Call Ba sed Intrusion Detection YAO Lihong ,ZI Xiaochao ,HUANG Hao ,MAO Bing ,XIE Li ( State Key Laboratory for Novel Software Technology , Nanjing University , Nanjing , Jiangsu 210093 , China ; ) Department of Computer Science and Technology , Nanjing University , Nanjing , Jiangsu 210093 , China Abstract : 　Attacking the network services is a primary approach for unauthorized users to intrude system ,and the program based intrusion detection technologies have been paid much attention to recently. The paper puts forward an intrusion detection model named CTBIDS. The model used tree structure to characterize program’s normal behavior ,and found whether program was exploited by limitedly accumulating anomaly during the program execution. It could reflect the accumulation of mismatches ,as well as the locality of mismatches caused by intrusion. Moreover ,it gave a statistical proposal to choose the paramet