基于隐马尔可夫模型的程序行为异常检测

• 作者: 张响亮 王伟 管晓宏
• 来源期刊: 西安交通大学学报
• 关键词: 入侵检测 隐马尔可夫模型 异常检测 系统调用
• 年，卷（期）: 2005,（10）
• 页码范围: 1056-1059
• 页数: 4页
• 分类号: TP393
• 语种: 中文
• DOI: 10.3321/j.issn:0253-987X.2005.10.005

摘要

针对入侵检测中普遍存在误报与漏报过高的问题,提出了一种基于隐马尔可夫模型的程序行为异常检测新方法.该方法以程序正常执行过程中产生的系统调用序列为研究对象,建立计算机的正常程序行为模型.在入侵检测时,先对测试的系统调用数据用滑动窗口划分得到短序列,再根据正常程序行为的隐马尔可夫模型求得每个测试短序列的输出概率,如果系统调用短序列的输出概率低于给定阈值,则将该短序列标定为"不匹配",如果测试数据中不匹配的短序列数占总短序列数的百分比超过另一给定阈值,该模型就认为此程序行为异常.实验结果表明,与Forrest和Lee的方法相比,所提方法的检测率的最大提高率可达590%.

作者信息

序号	姓名	单位	发文数	被引次数	H指数	G指数
1	管晓宏	西安交通大学电子与信息工程学院	94	2276	27.0	45.0
2	王伟	西安交通大学电子与信息工程学院	180	1518	19.0	32.0
3	张响亮	西安交通大学电子与信息工程学院	2	44	2.0	2.0