基于HMM的Linux主机入侵检测系统-模式识别与智能系统专业论文.docxVIP

摘要本文首先介绍了入侵检测系统的特点和发展现状。通过对各种入侵检测技 摘要 本文首先介绍了入侵检测系统的特点和发展现状。通过对各种入侵检测技 术的分析和比较，确定了在Linux系统中基于系统调用监控的主机入侵检测的 方案。 分析了Linux系统内核的特点，以及监控系统调用的关键技术。研究了一 些基于系统调用监控的异常检测模型，重点分析了隐马尔可夫模型(HMM)的 原理，算法，以及优缺点。 对操作系统中正常进程所发出的系统调用。建立了隐马尔可夫模型。根据 Linux系统的特点，对HMM在入侵检测中的应用做了改进，缩小了HMM模型 的建模和检测范围。 参考通用入侵检测公共框架(CIDF)，设计并实现了基于系统调用监控的 Linux主机入侵检测系统，在其中采用了HMM检测算法。 对实现的主机入侵检测系统进行了测试，得到了较好的检测率和较低的误 报率和漏报率。 关键词： 入侵检测系统， 异常检测， 隐马尔可夫模型， 系统调用，Viterbi，Baum-1I：Veleh， AbstractA Abstract A Hidden Markov Model(HMM)based Host Intrusion Detection System饿ms) is designed and tested in this thesis． First．the state—of-the—an of IDS and its characteristies are introduced．After carefully comparing various intrusion detection techniques，the research On HMM applied in H1DS is proposed，which is based on monitoring Linux system calls． The characteristics of Linux kernel are analyzed as well as the key technique of monitoring system calls．Then，some anomaly detection models based on monitoring system calls are discussed，especially the theory,algorithm，advantage and weakness ofthe Hidden MarkOV Model． The normal states of processes are modeled using HMM，which is improved by reducing the detection range． An HIDS based on monitoring Linux system calls is designed and implemented according to Common Intrusion Detection Framework(CIDF)．The improved HMM algorithm is applied in this HIDS． The test results indicate that the HIDS has a better detection rate and lower misinformation rate Key words： Intrusion Detection S3’stem，Anomaly Detection，Hidden Markov Model， System Call，Viterbi，Baum-Welch 两北T业人学坝：l：论义 两北T业人学坝：l：论义 泉十HMM的Linux主帆入侵榆测系统 第一章绪论 §1．1引言 自从20世纪90年代以来，网络进入了飞速发展的时期。目前，因特网已 遍及世界180多个国家，容纳了60多万个网络，接入了2000万多台主机，为 1,8亿多的用户提供了多样化的网络与信息服务。其所涉及到的服务项耳也已经 涵盖了电子商务、电子政务、电子税务、电子银行、电子海关、电子证券、网 络书店、网上拍卖、网络购物、网络防伪等诸多方面。网络信息系统在政治、 军事、会融、商业、交通、电信、文教等方面发挥越来越大的作用，社会对网 络信息系统的依赖也F|益增强，网络与人们的日常生活也变的密不可分。 但是，随着网络同益广泛的使用，通过网络犯罪而对各个方面所造成的危 害也只益严重，网络安全已经成为当今最为关心和棘手的闯题。从大的方莅来 说，网络安全问题已经威胁到国家的政治、经济、军事、文化、意识形态等诸 多领域。因此，很早就有人提出了“信息战”的概念，并将信息