基于马尔科夫链的主机异常检测方法研究.pdfVIP

总第249期 计算机与数字工程 V01．38No．7 Engineering 20 2010年第7期 ComputerDigital 基于马尔科夫链的主机异常检测方法研究’ 刘永庆刘东生 (海军计算技术研究所北京100841) 摘要提出了基于马尔科夫链模型的主机异常检测方法，首先提取特权进程的行为特征，并在此基础上构造Markov 的构造充分提取特权进程的局部行为特征的相互关系。实验表明该模型算法简单、实时性强、检测率高、误报率低、适合用 于在线检测。 关键词 异常检测；马尔科夫链模型；系统调用序列；网络安全 中图分类号TP309 An onMarkovModel DetectionMethodBased Anomaly Liu Liu YongqingDongsheng (NavalInstituteof 100841) ComputeTechnology，Beijing detection basedonMarkovmodel．At fea— Abst憎|ctAnewmethodfor intrusion iS first，behavioral anomaly proposed turesareextracted thentheMarkovmodelisfoundedbasedonthefeatures．Thestate$e-- fromthe privilegedprocesses．and ofMarkovmodelare tOinferthestate isusedtO thenormalorabnormalbehav— quences analyzed probability，whichclassify ior．Itcanextractthe oflocalbehavioralfeaturesofthe the sets relationships privilegedprocessesadequately．、7lmentraining arelimited，themethod showthismethodis andefficient，andcanbe predictsexactly．Theexperiments simple，effective usedin tOmonitorthe inrealtimewith TPRandlowFPR． practice computersystem high Words detection，Markovrecall Key anomaly model，systemsequence，networksecurity elml■耵1berTP309 期间进程生成的系统调用序列分割成若干长度为 1 引言 k的定长短序列，该定长短序列的集合即被作为进 入侵检测系统是现代计算机网络系统安全系 程的正常行为轮廓[3]。事实上，k必须比