ARMA模型在入侵检测用户模式挖掘中的应用.pdfVIP

全国抗恶劣环境计算机第十七届学术年会论文集 ·安全· ARMA模型在入侵检测用户模式挖掘中的应用 胃囊●，邓尧文，羚麓梧 (中船重工集团第707研究所加固微机事业部，天津300131) I曩：在深入研究入侵检测的基础上，借助时间序列中的ARMA(自回归滑动平均)模型给出了入侵检测中的数据采集关健部分的基于用 户行为楱式挖掘的体系结构设计和具体实现，经过试验结果表明该模型确实能够有效的区分用户的正常行为模式和异常行为模式，从而大 大的提高了入侵检测系统的检测率。 关嘲：入侵检测；ARMA模型；时间序列；用户行为模式 l引言 为参数。 异常检测是目前入侵检测系统的主要研究方向，其特点 代入后移算子B，上式可写为： 是通过对系统异常行为的检测，可以发现未知的攻击模式。 (1一∑仍曰’)x，=(1一∑够丑7№， 异常检测的关键问题在于正常使用模式的建立以及如何利用 该模式对当前用户行为进行比较和判断。用户行为模式是指 显然，此模型是将序列{x，}转化为独立序列{口1)，即 程序执行或用户操作过程中体现出的某种规律性。大量的实 践经验告诉我们，无论是程序的执行还是用户的行为，在系 弘器铲喜％娟㈣B， 统特性上都呈现出紧密的相关性。这些带有强一致性的行为 其中 特征正是我们希望挖掘出的行为模式的组成部分。 时间序列分析是对随时间变化而又相互关联的动态数 =l G(曰)=∑j=oG』∥L。r：10 据(信号)进行分析、研究和处理的一种方法。时间序列试动 式中，G，称为Green函数，作为“权”，即X，可表示为独立 态数据是依时间顺序或空间顺序或依某种物理顺序先后排列 序列{q}的过去值与现在值加权的线性组合，从而可采用统 的有序数据。这种有序性和大小反映了数据内部的相互联系 计学方法进行统计处理。 和变化规律，蕴含着产生这列数据的现象、过程或系统的有 关特性，有关信息。从系统分析角度来看，如将动态数据作 3用户行为模式挖曩 为一系统的输出，则应包含三方面的信息：(1)系统本身有关 的固有特性；(2)输入的特性，即同此系统有关的外界特性； (3)输入同系统的关系，即有关的外界同系统的关系。动态数 据或时间序列就是离散的随机过程、有序的随机变量的集合。 随机过程的每一样本就是所观测的一次有序的随机数据的集 合，每一样本中的每一观测数据是相应随机变量的一次实现。 对动态数据，采用合适的建模方法、拟合适用的参数， 再用此参数模型进行分析与处理的方法，就是参数模型法。 传统的回归模型就是一种参数模型。 回归模型是静态模型，该模型在t时刻的“扰动”只影响 到Yt而不影响Yt+l，也就是说模型是无“记忆”的或非动态 的。因而回归模型只有一个变量对另一些变量的静态相关。 用户行为模式挖掘的原理图可参见图1。 这种静态相关性在ARMA模型的条件回归形式中也有，然而 ■1用户行为曩式挖l■曩圈 在它的无条件形式中还有扰动或记忆，即t时刻的扰动能被 在我们的研究工作中，通过截取网络中传输的数据包并 “记住”，并且继续在后续时刻起影响，正是这种记忆或动态 进行相应的协议解析，可以在传输层、会话层及部分应用层 造成数据的相关性，显示出ARMA(自回归滑动平均)模型处 协议复原用户行为。我们把用户提交的每一条命令结合与之 理和分析动态数据的有效性。