基于Windows Native API序列的异常检测模型

• 作者: 冯力 周晓明 孙杰 彭勤科 杨力伟
• 来源期刊: 西安交通大学学报
• 关键词: 异常检测 操作系统 多步一致模型 指数迭代检测算法
• 年，卷（期）: 2006,（4）
• 所属期刊栏目: 专题研究
• 页码范围: 406-410
• 页数: 5页
• 分类号: TP393.1
• 语种: 中文
• DOI: 10.3321/j.issn:0253-987X.2006.04.009

摘要

针对Windows操作系统受到的越来越多的严重攻击,提出一种基于Native API序列的多步一致模型和指数迭代检测算法,实现了从内核空间检测Windows操作系统中的异常入侵.通过设计内核虚拟设备来截获系统服务分配表,从而可实时地获取Native API信息.用被截获的正常Native API数据建立一步和二步一致模型,并以此描述进程的正常行为.在检测过程中,通过指数迭代检测算法,可对不断出现的Native API的正常指数进行度量.采用报警提取算法对正常指数进行分析可惟一地确定对应的攻击,为管理员及时掌握系统的安全状况提供了保证.在不同的Windows操作系统环境下的实验结果表明,该方法有较好的检测精度.

作者信息

序号	姓名	单位	发文数	被引次数	H指数	G指数
1	彭勤科	西安交通大学电子与信息工程学院	68	773	16.0	25.0
2	孙杰	西安交通大学电子与信息工程学院	16	53	4.0	6.0
3	冯力	西安交通大学电子与信息工程学院	5	28	3.0	5.0
4	周晓明	西安交通大学电子与信息工程学院	1	9	1.0	1.0
5	杨力伟	西安交通大学电子与信息工程学院	1	9	1.0	1.0