基于满十六叉有序树的程序行为建模搜索方法.pdf

CN43—1258／TP 计算机工程与科学 2007年第 29卷第 6期 ISSN 1007—130X C0MPUTERENGINEERING SCIENCE VoI．29．No．6，2007 文章编号：1007—130X(2007)06—0004—03 基于满十六叉有序树的程序行为建模搜索方法 A M ethodforProgram BehaviorModelingand SearchingBasedonFull16——aryOrderedTrees 骆玉霞 。刘金刚 LUO Yu-xia’．一。LIUJin-gang，‘ (I．中国科学院计算技术研究所．北京 100080；2．首都师范大学计算机科学联合研究院。北京 100037； 3．中国科学院研究生院．北京 100039) (1．InstituteorO}nlputingTechnology，ChineseAoldenlyofSciences．Beijing100080； 2．JointFacultyorC~mlputerScience，QipitalNornmlUniversity，BeUing100037； 3．GnlduateSchoo1．ChineseAcadenlyofSciences。Beijing10O039-China) 摘 要：程序行为建模及搜索是异常检测研究中的关键问题。本文提出利用系统调用发生时的程序计数器值对应的 段号和段内偏移作为事件。将滑动窗口在有序事件上滑动得到事件序列集合．利用满十六又有序树算法建立正常行为模型 库。满十六又有序树是为提高规则库的存储及搜索的效率而设计的．其存储的字节顺序隐含着结，景间关系信，。在规则 库 中搜索某条规则的时间复杂度仅与树的深度有关，树的深度固定时的时间复杂度为0(1)。文中给出了满十六又有序树 的定义．分析了它的特点．并给出生成算法和搜索算法。 Abstract：Program behaviornaoclelihgandscare!lingisIhekeyissueofanomalydeleclion．A methodispresented，in whichtilesegmentIDandlheoffsetoftileprogram counter(PC)，whensysIem callsareinvoked．areusedasevents．lhce— ventsequencesetisproducedbyslidingthewindow inorderlyevents，andanormalbehaviormodelsetisbuiltbyusingfull 16一aryorderedtrees．A full16-aryordered treeisdesignedforimprovingtileefficiencyofstoringandsearchingrulesets． rrhestoragebyteS~lUcnceinIhefull16一aryorderedtreeimpliesIherelationshipinformationbetweennodes．Thelimeconl— plexityofsearchingtherulesetforaruleonlyrclalestotiledepthofthetree，andifthedepthofthetreeisfixed．tileIilne complexityis0(I)．Filedefinitionofafull16一aryorderediroe．itsfeatures，itscreatingandsearchingalgorillmasarepros— enled． 、 关键词：正常程序行为模型库；事件；满十六又有序树；异常检测 Keywords：normalprogram behaviormodel；event；fu