基于粗糙集值约简改进算法进程异常检测.docVIP

基于粗糙集值约简改进算法进程异常检测 　　摘 要:提出一种新的基于粗糙集值约简和系统调用的进程异常检测方法。为了提高约简效率,改进了基于差别矩阵的粗糙集值约简算法。另外创建了一种新的检测模型,能在判断进程是否异常的基础上进一步识别异常种类。它以系统调用短序列中??k??个位置作为条件属性集,以进程类型作为决策属性,建立决策表;然后使用改进的值约简算法提取规则集,并对规则匹配的结果作统计;最后判断进程类别。实验表明该方法能高效准确地识别异常进程的种类。 　　关键词:系统调用;粗糙集;约简;异常检测 　　中图分类号:TP393.08 文献标志码:A 　　文章编号:1001-3695(2010)03-1064-04 　　doi:10.3969/j.issn.1001-3695.2010.03.072 　　 　　Abnormal detection of processes based onimproved rough set value reduction algorithm 　　 　　WANG Hui,LIU Feng,ZHAO Zhi-hong,LUO Bin 　　(Software Institute, Nanjing University, Nanjing 210093, China) 　　Abstract:This paper proposed a new method for abnormal detection of processes based on RS value reduction and system calls.Improved the algorithm of rough set value reduction based on discernibility matrix to increase the reduction efficiency.And built a new detection model.It could not only tell whether the process was normal or abnormal, but also identified the type of the abnormality.First,made a decision table by using the ??k?? positions in the short sequences of system calls as the conditional attributes and the type of the process as the decision attribute.Then applied the new RS value reduction algorithm to extract a rule set.At last,identified the type of the process by the statistical figures of comparison between the process’ sequences of system calls and the rule set.The experiment shows that this method can identify the processes’ types efficiently and correctly. 　　Key words:system calls; rough set; reduction; abnormal detection 　　0 引言 　　入侵检测是对恶意破坏计算机和网络资源的行为进行识别和警报的过程,是计算机安全领域研究的热点课题之一。根据被检测的数据源,它可以分为主机入侵检测和网络入侵检测;按照数据分析方法,又可以分为误用检测和异常检测。 　　基于系统调用序列的进程异常检测是主机入侵检测的重要内容。1996年,Forrest等人[1,2]发现利用进程运行时产生的系统调用流可以精确地刻画进程的运行状态,从而提出了时延嵌入序列法(tide)。它通过构造一系列定长的系统调用短序列来描述进程的正常行为轮廓,然后计算目标进程和正常轮廓的不匹配程度,进而分辨出该进程是否异常。之后,Warrender等人[3]又根据异常短序列的局域特征提出了序列tide法(stide),并进一步扩展为基于频率阈值的stide法(??t??-stide)。此外,还可以基于神经网络[4]、HMM[5]等工具进行主机入侵检测,这些方法检测率高,但训练时间更长。 　　 　　文献[6]提出一种基于粗糙集约简的系统调用序列异常检测方法,其基本思想是利用粗糙集约简对第??k??个系统调