基于进程轨迹最小熵长度系统调用异常检测.docVIP

基于进程轨迹最小熵长度系统调用异常检测摘 要：进程的系统调用轨迹蕴藏着程序行为不变性和用户行为不变性这两种不变性，其中，程序行为不变性可进一步细分为时间顺序不变性和频度不变性。已有的系统调用异常检测技术研究工作均集中于程序行为不变性，忽视了用户行为不变性。从系统调用中的频度不变性出发，研究了系统调用轨迹中的用户行为不变性及其描述手段，并提出采用最小熵长度描述这种不变性。在 Sendmail 数据集上的实验表明，最小熵长度较好地描述了系统调用轨迹中的用户行为不变性，结合程序行为不变性，可以极大地提高系统调用异常检测性能。 关键词：入侵检测；系统调用；程序行为不变性；用户行为不变性；最小熵长度 中图分类号： TP309 文献标志码：A System call anomaly detection with least entropy length based on process traces WU Ying1，2*，JIANG Jian-hui1 1.School of Software Engineering， Tongji University， Shanghai 201804， China； 2.Department of Computer Science and Technology， Anhui Institute of Architecture and Industry， Hefei Anhui 230022， China Abstract： In system call trace of a process， there are two kinds of invariability， program behavior invariability and user behavior invariability， of which the former can be further subdivided into temporal order invariability and frequency invariability. The existing researches on system call based intrusion detection techniques focus on program behavior invariability only， ignoring user behavior invariability. Based on frequency invariability embedded in process traces， the existence and description of user behavior invariability were studied， on which the least entropy length was proposed to measure the invariability. The experiment on Sendmail datasets shows that， least entropy length excellently describes user behavior invariability and significantly improves the performance of system call anomaly detection with the help of program behavior invariability. 英文关键词　Key words： intrusion detection； system call； program behavior invariability； user behavior invariability； least entropy length 0 引言 入侵检测技术分为误用检测技术和异常检测技术[1]。这两种技术均利用特征库记录某种不变性。误用检测技术的特征库由入侵行为的特征码组成，描述已知入侵行为的不变性。新入侵行为的不变性通常对应着新特征码。因此，该技术必须更新特征库才能检测新入侵行为；异常检测技术采用特征库描述程序正常行为的不变性，并将异于该不变性的行为标记为异常或入侵行为，无需更新特征库即可检测新入侵行为。 上述不变性可以认为是程序行为或者用户行为中稳定不变的属性或性质。一般认为，程序行为变化范围小，较稳定；用户行为变化范围较大，不易描述。 1996年，Forrest等[2]指出特权进程发出的系统调用短序列具备明显的一致性，能够区别不同进程，敏感于进程异常行为，并首次提出基于系统调用的异常检测